Recuperación de aplicación web
Un sitio comprometido donde el atacante había dejado una puerta trasera oculta que reinstalaba el problema cada vez que se restauraba el respaldo. Detuvimos el ataque, eliminamos el mecanismo completo y protegimos el sitio para que no volviera a pasar. La operación siguió funcionando durante el proceso.
El contexto
El sitio del cliente venía mostrando comportamiento raro: redirecciones que no debían estar, archivos apareciendo solos, mantenimientos que nadie había programado. Restaurar desde el último respaldo limpiaba el sitio por unas horas, y todo volvía. Ese es el síntoma típico de un ataque bien montado: la parte visible del problema vive en el sitio, pero el mecanismo que lo reinstala vive en otro lugar del servidor, en carpetas que ningún respaldo del sitio incluye.
La respuesta correcta no es "restaurar y esperar". Hay que entender por dónde entró el atacante, cortar el mecanismo que reinstala el problema, limpiar todo lo que dejó y recién ahí subir el sitio con protecciones nuevas. Y hacerlo con la operación funcionando, porque el negocio no puede quedar semanas offline.
Cuando el respaldo no alcanza
La infección vuelve tras la restauración
Se restaura desde el último respaldo limpio, y horas después el problema reaparece. El mecanismo que lo reinstala nunca estuvo en el respaldo.
Las herramientas comunes no lo detectan
Las herramientas de análisis del sitio miran solo la parte pública. El mecanismo que reinstala el problema vive en otras carpetas del servidor y queda invisible.
Sin certeza de qué pasó y cuándo
No hay claridad sobre cuándo entró el atacante, qué información pudo ver ni si se filtraron contraseñas.
Presión por seguir operando
El negocio no puede quedar días offline. La limpieza tiene que hacerse con el sitio arriba y con ventanas de contención cortas.
Cómo lo abordamos
Contener, entender, limpiar el mecanismo completo y proteger. En ese orden — porque restaurar sin cortar la puerta de reingreso es perder el tiempo.
Contención inmediata
Frenar el daño antes de entenderlo
Bloqueamos el acceso al código malicioso, cambiamos las contraseñas que pudieron haberse expuesto y aislamos las cuentas comprometidas. Todo antes de tocar los archivos, para no alertar al atacante ni perder evidencia útil para el análisis.
- Bloqueo del archivo malicioso sin bajar el sitio
- Cambio inmediato de contraseñas y accesos
- Evidencia preservada antes de limpiar, para poder reconstruir qué pasó
Entender cómo entró y cómo se reinstala
Sin este mapa la limpieza queda a medias
Revisamos el servidor completo: archivos, tareas programadas, procesos activos, registros. Analizamos el código malicioso para entender qué hace, dónde deja rastro y cómo se reinstala. Sin ese mapa completo, la limpieza queda incompleta.
- Revisión completa del servidor, no solo del sitio público
- Análisis del código malicioso y del mecanismo que lo reinstala
- Línea de tiempo del incidente con la mejor precisión posible
Limpieza que sí queda limpia
Código malicioso, mecanismo y rastros
Eliminación del código malicioso, del mecanismo que lo reinstala y de todo archivo que el atacante haya dejado. Comparación contra una versión limpia de referencia. Solo cuando el mecanismo completo está cortado, se restaura o se sube el sitio limpio.
- Mecanismo de reinstalación cortado por completo
- Versión limpia de referencia verificada contra el sitio en producción
- Verificación post-limpieza sostenida en las horas siguientes
Protección adicional y monitoreo
Que no vuelva por la misma puerta
Cierre de la puerta por donde entró el atacante (actualización, cambio de configuración, protección adicional), doble factor en los accesos que faltaban, bloqueos preventivos para los archivos maliciosos ya conocidos, y monitoreo continuo que avisa al equipo si algo raro vuelve a pasar.
- Puerta de entrada del atacante cerrada y verificada
- Monitoreo con alertas al equipo ante cambios sospechosos
- Respaldos verificados y separados del entorno atacado
Informe al cliente
Qué pasó, qué se hizo, qué queda
Informe ejecutivo con lenguaje del negocio: origen probable, ventana del compromiso, alcance de los datos expuestos, acciones tomadas y recomendaciones a futuro. Sin jerga técnica, con la información que se necesita para decidir.
- Informe ejecutivo apto para decisores
- Recomendaciones priorizadas por costo e impacto
- Sesión de aprendizaje con el equipo del cliente
Lo que cambió tras el incidente
El sitio quedó limpio y endurecido, con la operación en pie y con visibilidad para detectar el próximo intento antes de que pase.
- Cada restauración limpiaba el sitio por unas horas; el problema volvía solo.
- Las herramientas de análisis del sitio no detectaban el problema real.
- Sin línea de tiempo del ataque ni certeza sobre datos expuestos.
- Presión operativa por resolver rápido sin arriesgar el negocio.
- Ataque cortado por completo —código malicioso y el mecanismo que lo reinstalaba— sin recaída posterior.
- Monitoreo con visibilidad al servidor completo, no solo al sitio público.
- Informe ejecutivo con línea de tiempo, alcance y recomendaciones priorizadas.
- Protección adicional: doble factor, respaldos verificados y separados, alertas activas.
¿Tu sitio o infraestructura acaban de ser comprometidos?
Respondamos ahora, no cuando el atacante vuelva
Contención, limpieza que sí queda limpia y protección adicional. Sin depender de una restauración que después se cae. Cuéntanos qué está pasando.