清理恶意软件不等于封堵漏洞：一个被入侵 WordPress 站点的法证解析

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart LR
    subgraph real["Orden real de creacion (ID de base de datos, secuencial)"]
        direction LR
        id_a["Entrada A\nID N"] --> id_b["Entrada B\nID N+1"] --> id_c["Entrada C\nID N+2"]
    end
    subgraph decl["Fecha declarada por quien publico el contenido"]
        direction LR
        f_a["2025-XX-XX"] --> f_b["2019-XX-XX\n(ID mayor,\nfecha mas antigua)"] --> f_c["2026-XX-XX"]
    end
id_a -.-> f_a
id_b -.-> f_b
id_c -.-> f_c
style f_b fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style id_b fill:#1e3a5f,stroke:#3b82f6,color:#bfdbfe

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'primaryBorderColor': '#fb6c25', 'lineColor': '#94a3b8', 'edgeLabelBackground': '#1e293b'}}}%%
flowchart TD
    A["Directorio de plugin falso\ncreado 9 minutos antes\n(timestamp Unix en el nombre)"]
    B["cargador.php\nIncluye el segundo archivo"]
    C["Archivo oculto\nLlama a la funcion interna"]
    D["Funcion interna\nIntenta abrir proceso del sistema\npopen()"]
    E["BLOQUEADO\nCall to undefined function popen\ndisable_functions del hosting"]
A --> B --> C --> D --> E
style A fill:#0f172a,stroke:#fb6c25,color:#f8fafc
style B fill:#0f172a,stroke:#fb6c25,color:#f8fafc
style C fill:#0f172a,stroke:#fb6c25,color:#f8fafc
style D fill:#0f172a,stroke:#fb6c25,color:#f8fafc
style E fill:#7f1d1d,stroke:#ef4444,color:#fca5a5,font-weight:bold

%%{init: {'theme': 'dark'}}%%
xychart-beta horizontal
    title "115 entradas publicadas: 4 son del cliente (3.5%)"
    x-axis ["Del cliente", "Casino", "Por defecto", "Apuestas en 9 idiomas"]
    y-axis 0 --> 110
    bar [4, 5, 4, 102]

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart TB
    subgraph EXT["Exterior (internet)"]
        direction LR
        visitante["Visitante\nlegitimo"]
        atacante["Atacante\n(origen desconocido)"]
    end
subgraph WP["WordPress (sitio comprometido)"]
direction TB
admin["Cuenta administradora\ncomprometida"]
mu["mu-plugins/\nCarga automatica\nInvisible al panel"]
plugins["plugins/\nPlugin falso del atacante"]
uploads["wp-content/uploads/\nArchivos de respaldo\nDescargables sin autenticacion"]
core["WordPress Core\nActualizado post-incidente"]
content["604 entradas:\n4 del cliente (3.5%)\n600 spam inyectado"]
end
visitante -->|"HTTP 200"| content
atacante -->|"Credencial comprometida\n(hipotesis de trabajo)"| admin
admin -->|"Publico contenido spam"| content
admin -->|"Instalo plugin falso"| plugins
plugins --> mu
mu -->|"Se ejecuta en cada peticion"| core
style mu fill:#7f1d1d,stroke:#ef4444,color:#fca5a5,font-weight:bold
style uploads fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style admin fill:#78350f,stroke:#f59e0b,color:#fde68a
style content fill:#1e3a5f,stroke:#3b82f6,color:#bfdbfe
style atacante fill:#450a0a,stroke:#ef4444,color:#fca5a5

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart LR
    subgraph LIMPIO["Limpiado al 2026-09-18 (76%)"]
        direction TB
        l1["Plugin falso eliminado\nde mu-plugins"]
        l2["Segunda cuenta\nadministradora eliminada"]
        l3["WordPress Core\nactualizado"]
        l4["15 artefactos de malware\neliminados del sistema de archivos"]
        l5["Pagina spam\ncerrada (404)"]
    end
subgraph BRECHA["Brecha abierta (24% pendiente)"]
direction TB
b1["Archivos de respaldo\nDescargables sin autenticacion"]
b2["Hashes phpass\nExpuestos en volcado SQL"]
b3["Gestor de archivos\ndel panel activo"]
b4["Notificacion LFPDPPP\npendiente de confirmacion"]
b5["Barrido del directorio\nde subidas: solo ~33% revisado"]
end
LIMPIO -. "No implica" .-> BRECHA
style LIMPIO fill:#052e16,stroke:#22c55e,color:#86efac
style BRECHA fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style b1 fill:#450a0a,stroke:#ef4444,color:#fca5a5,font-weight:bold
style b2 fill:#450a0a,stroke:#ef4444,color:#fca5a5,font-weight:bold

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart LR
    subgraph L["Configuracion existente"]
        direction TB
        la["IndexIgnore *"]
        lb["Efecto real:\nOCULTA el listado del directorio\nNO niega el acceso"]
        lc["Resultado:\n.sql y .zip siguen\ndescargables sin autenticacion"]
        la --> lb --> lc
    end
subgraph R["Configuracion que habria negado el acceso"]
direction TB
ra["Options -Indexes"]
rb["RedirectMatch 403 \.sql$"]
rc["RedirectMatch 403 \.zip$"]
rd["(y .gz, .tar, .bak)"]
re["Resultado:\n403 Forbidden para archivos\nde base de datos y respaldo"]
ra --> rb --> rc --> rd --> re
end
L -. "vs." .-> R
style L fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style lc fill:#450a0a,stroke:#ef4444,color:#fca5a5,font-weight:bold
style R fill:#14532d,stroke:#22c55e,color:#86efac
style re fill:#052e16,stroke:#22c55e,color:#86efac,font-weight:bold

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart LR
    req["Peticion HTTP\ncualquier visitante"]
    wp["WordPress\ninicializa"]
    mu["mu-plugins/\nCarga TODOS los .php\nSIN excepcion ni VoBo del admin"]
    cargador["cargador.php\n56 bytes\nIncluye archivo oculto"]
    oculto["Archivo oculto\n522 bytes\nFunciones en hex"]
    panel["Panel de administracion\nNO muestra nada\nInvisible para el operador"]
    bloqueo["BLOQUEADO\npopen() deshabilitada\npor el hosting"]
req --> wp --> mu --> cargador --> oculto --> bloqueo
mu -.->|"No aparece en"| panel
style mu fill:#7f1d1d,stroke:#ef4444,color:#fca5a5,font-weight:bold
style cargador fill:#450a0a,stroke:#ef4444,color:#fca5a5
style oculto fill:#450a0a,stroke:#ef4444,color:#fca5a5
style bloqueo fill:#052e16,stroke:#22c55e,color:#86efac,font-weight:bold
style panel fill:#1e293b,stroke:#64748b,color:#94a3b8,font-style:italic

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart LR
    subgraph E4["Error E4"]
        direction TB
        e4s["Sintoma:\nel sitio no responde\ndesde la oficina"]
        e4r["Realidad:\nIP de la auditoria bloqueada\npor el hosting"]
        e4c["Correccion:\nmedir desde un punto externo\nsin relacion con el cliente"]
        e4s --> e4r --> e4c
    end
subgraph E5["Error E5"]
direction TB
e5s["Sintoma:\nla portada muestra\ncontenido antiguo"]
e5r["Realidad:\ncopia en cache de la\ncapa intermedia del hosting"]
e5c["Correccion:\nGET vs POST al mismo segundo\ndesde la consola del navegador"]
e5s --> e5r --> e5c
end
subgraph E3["Error E3"]
direction TB
e3s["Sintoma:\nun fatal error coincide\ncon la firma del ataque"]
e3r["Realidad:\nlo genero la propia\nsonda HTTP de la auditoria"]
e3c["Correccion:\natribucion retirada\npor escrito con fecha"]
e3s --> e3r --> e3c
end
E4 -.-> E5
E5 -.-> E3
style e4r fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style e5r fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style e3r fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style e4c fill:#052e16,stroke:#22c55e,color:#86efac
style e5c fill:#052e16,stroke:#22c55e,color:#86efac
style e3c fill:#052e16,stroke:#22c55e,color:#86efac

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart TB
    inicio["Vector de entrada\nNO PROBADO\n(hipotesis de trabajo)"]
subgraph H1["Hipotesis 1: Credencial comprometida"]
direction TB
h1a["Contrasena de administrador\nobtenida por phishing,\nfuerza bruta o reutilizacion"]
h1b["Inicio de sesion\nen wp-admin"]
h1c["Instalacion del plugin falso\nPublicacion del contenido spam"]
h1a --> h1b --> h1c
end
subgraph H2["Hipotesis 2: Plugin con vulnerabilidad"]
direction TB
h2a["Plugin legitimo instalado\ncon vulnerabilidad sin parchear"]
h2b["Ejecucion remota de codigo\no carga de archivo malicioso"]
h2c["Credenciales obtenidas\nPlugin falso instalado"]
h2a --> h2b --> h2c
end
inicio --> H1
inicio --> H2
style inicio fill:#78350f,stroke:#f59e0b,color:#fde68a,font-weight:bold
style H1 fill:#1e293b,stroke:#64748b
style H2 fill:#1e293b,stroke:#64748b

%%{init: {'theme': 'dark'}}%%
xychart-beta horizontal
    title "33 acciones documentadas — corte 2026-09-18"
    x-axis ["Pendientes (24%)", "Cerradas (76%)"]
    y-axis 0 --> 28
    bar [8, 25]

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#1e293b', 'primaryTextColor': '#f8fafc', 'lineColor': '#94a3b8'}}}%%
flowchart TD
    inicio["Incidente de seguridad\ndetectado"]
    dp["¿El sistema afectado\ncontenia datos personales\nde terceros?"]
    si_dp["SI:\nVolcado SQL contenia\nhashes y datos de clientes"]
    vuln["¿Equivale a vulneracion\nbajo LFPDPPP Art. 36?\n(Determinar con asesoria legal)"]
    notif["Notificacion a la\nCuenta de Correo Electronico\nINAI (o directamente al titular\nsi el riesgo es alto)"]
    medidas["Implementar medidas\nde seguridad correctivas:\nCerrar acceso no autorizado\nCambiar credenciales"]
    cierre["Confirmar cierre:\nFecha de notificacion\nNombre del responsable\nEvidencia de remedios"]
    no_dp["NO aplica\nobligacion de notificacion\nLFPDPPP"]
inicio --> dp
dp -->|"Si"| si_dp
dp -->|"No"| no_dp
si_dp --> vuln
vuln -->|"Si equivale"| notif
vuln -->|"Requiere evaluacion\n(pendiente)"| medidas
notif --> medidas --> cierre
style si_dp fill:#7f1d1d,stroke:#ef4444,color:#fca5a5
style notif fill:#78350f,stroke:#f59e0b,color:#fde68a
style cierre fill:#052e16,stroke:#22c55e,color:#86efac,font-weight:bold
style no_dp fill:#1e293b,stroke:#64748b,color:#94a3b8