Monitorización de cuentas de administrador: la puerta trasera es una cuenta, no solo un archivo.
Tras una intrusión, la persistencia rara vez es un archivo: es una cuenta. Relvato lee la lista de administradores a través del plugin y señala cualquier cuenta que tenga administrador más un rol de cliente o suscriptor, un administrador registrado en las últimas dos semanas o una contraseña de aplicación en un administrador que no creaste tú. Lee las cuentas directamente de la base de datos (plugin 1.24.0 o posterior), así que también detecta un administrador oculto en tu pantalla de usuarios, y una cuenta con poderes de administrador bajo otro nombre de rol.
- ✓Ninguna cuenta tiene administrador más un rol de cliente o suscriptor
- ✓Ningún administrador oculto en tu pantalla de usuarios
- ✓Ningún poder de administrador bajo otro nombre de rol sin que lo sepas
- ✓Ningún administrador ha aparecido en los últimos 14 días sin que lo sepas
- ✓Cada administrador listado una vez para que lo confirmes, para que una cuenta que un atacante creó antes de que Relvato empezara a vigilar no pase por normal
- ✓Ninguna contraseña de aplicación en un administrador que no hayas creado tú
- ✓Ninguna clave de la API REST de WooCommerce ni app OAuth que no conozcas: accesos que se saltan el formulario de inicio de sesión y el 2FA
- ✓El número total de admins en cada ejecución, para ver un crecimiento silencioso
- ✓Se vuelve a comprobar en cuanto cambia un rol o se crea una contraseña de aplicación, no solo por horario
El manual del skimmer de WooCommerce no deja un admin evidente llamado «hacker». Coge una cuenta de cliente existente y le añade el rol de administrador, así que la cuenta conserva su etiqueta de cliente y parece un comprador más entre miles. Un escáner de malware que busca archivos modificados no ve nada, porque en el disco no ha cambiado nada. Las contraseñas de aplicación son la versión más discreta: desde WordPress 5.6, un administrador puede tener contraseñas que inician sesión directamente en la API REST, así que la verificación en dos pasos, los límites de intentos de acceso y un cambio de contraseña nunca les afectan. Vigilar la lista es lo que detecta ambas cosas, y en cuanto cambia un rol o se crea una contraseña de aplicación, Relvato vuelve a comprobarlo en vez de esperar al pase nocturno. Los atacantes más cuidadosos van un paso más allá y ocultan su administrador de la pantalla de usuarios con unas pocas líneas de código. La cuenta sigue en la base de datos, y es ahí donde Relvato la lee.
Un administrador que nadie recuerda haber creado es la vía por la que muchas infecciones vuelven tras una limpieza. Nuestra guía muestra dónde se esconde el malware de WordPress y qué cambiar para que no vuelva.
- El plugin informa de la lista: usuario, nombre visible, roles, fecha de registro y el dominio del correo. Nunca direcciones completas.
- Las cuentas se leen directamente de la base de datos, no a través de la lista de usuarios de WordPress: un administrador que la pantalla de usuarios oculta aparece igualmente y hace fallar la ejecución. Una cuenta con poderes de administrador bajo otro rol, o asignados directamente, se lista para que la confirmes.
- Una cuenta con administrador Y un rol de cliente o suscriptor hace fallar la ejecución: eso es una elevación, no un alta.
- Un administrador registrado en los últimos 14 días se muestra para que lo confirmes: lo apruebas una vez, o lo retiras.
- Las contraseñas de aplicación de cada administrador se listan por nombre y fecha, nunca la contraseña. Una creada en los últimos 14 días hace fallar la ejecución; las más antiguas se listan una vez cada una para que las confirmes.
¿Relvato lee los datos personales de mis usuarios?
No. El plugin informa, por cada administrador, del usuario, el nombre visible, los roles, la fecha de registro y la parte de dominio del correo, además del nombre y las fechas de cada contraseña de aplicación: nunca la dirección completa, nunca una contraseña y ninguna cuenta sin acceso de nivel administrador.
¿Por qué «administrador + cliente» se considera un problema?
Porque es una elevación, no una configuración normal. Un administrador real se crea como tal; una cuenta de cliente que de pronto también es administrador casi siempre recibió ese rol de alguien que entró. Y se esconde bien: tu lista de usuarios sigue mostrando «Cliente».
He añadido yo un admin nuevo. ¿Seguirá avisando?
No. Un administrador recién creado es un aviso, no un fallo, y deja de aparecer cuando la cuenta supera las dos semanas, o de inmediato si marcas el hallazgo como revisado.
¿Cómo puede ocultarse un administrador de la pantalla de usuarios?
WordPress construye la pantalla de usuarios con una consulta que cualquier plugin puede filtrar, y el malware lo aprovecha para dejar su propia cuenta fuera de la lista y del recuento de administradores de arriba. Relvato lee las cuentas directamente de la base de datos y lo compara con lo que muestra la pantalla de usuarios: un administrador que existe pero no aparece hace fallar la ejecución. Si ocultas una cuenta a propósito (algunos plugins de seguridad lo hacen), ignora el hallazgo una vez. Lo que se oculta solo en el navegador, con CSS o JavaScript, el servidor no lo ve como oculto, pero la cuenta sigue apareciendo en la lista de Relvato, donde puedes detectar una que no conoces.
¿Funciona sin el plugin de WordPress?
No. Los roles solo existen dentro de WordPress, así que este monitor necesita el plugin gratuito de Relvato (1.3.0 o posterior; 1.24.0 o posterior para detectar administradores ocultos). Los monitores que miran tus páginas desde fuera no lo necesitan.
¿Qué es una contraseña de aplicación y por qué importa?
Es una contraseña que WordPress (5.6 y posteriores) permite crear a un administrador para apps e integraciones: la app móvil, Jetpack, Zapier. Inicia sesión en la API REST sin el formulario de acceso, así que la verificación en dos pasos y los límites de intentos de acceso no se aplican, y cambiar la contraseña de la cuenta no la revoca. Por eso, una que añade un atacante es una vía para volver a entrar después de una limpieza. Relvato lista cada una por nombre y fecha; confirmas las que conoces, y una nueva hace fallar la ejecución.
Pon este monitor en piloto automático.
Gratis para siempre en un sitio — 100 ejecuciones al mes, lanzadas por ti o cada semana, sin tarjeta. Pro vuelve a ejecutar tus monitores solo tras cada actualización.