File Editor Access/Modification

ID de alerta: file_editor_used MITRE ATT&CK: T1055 – Process Injection · T1059 – Command and Scripting Interpreter

---

Severidad / Criticidad

Nivel	Condición
Baja	Acceso al editor (cooldown de 15 minutos)
Media	Modificación de archivos CSS/JS (posible defacement)
Crítica	Modificación de archivos PHP (posible RCE)

---

¿Por qué se considera maliciosa?

• Los editores de temas/plugins permiten RCE inmediata mediante modificaciones PHP.
• Permite inyección de backdoors sin subida de archivos.
• Facilita alteraciones en archivos core para persistencia.
• Habilita defacement mediante manipulación de CSS/JS.
• No existe justificación legítima de seguridad para editar código directamente en producción.
• Es un anti-patrón de seguridad; debe deshabilitarse en entornos de producción.

---

¿Cuándo salta la alerta?

• Acceso al editor: theme-editor.php o plugin-editor.php (severidad baja, cooldown 15 min).
• Modificación de archivo detectada: POST con newcontent (severidad según extensión).
• Análisis de contenido: presencia de funciones de ejecución peligrosas (eval, system, exec, base64_decode).
• Funciones peligrosas detectadas: file_get_contents(), include(), require().
• Parámetros de request sospechosos: superglobales PHP con entrada controlada por el atacante (POST, GET, REQUEST).

---

Indicadores Técnicos (IOCs)

En los patrones siguientes, <request-param> representa cualquier acceso a una superglobal de request controlada por el atacante (por ejemplo un acceso a los arrays POST, GET o REQUEST):

Tipo	Patrón/Ejemplo
file_pattern	eval(base64_decode(<request-param>));
file_pattern	@assert(<request-param>);
file_pattern	create_function('', <request-param>);
file_pattern	add_action('init', 'malicious_function');
behavior	Acceso a theme-editor.php o plugin-editor.php
behavior	Cambios en archivos PHP fuera de despliegues planificados

---

Falsos positivos comunes

• Desarrolladores realizando hotfixes de emergencia (aun así, mala práctica).
• Diseñadores editando CSS en producción.
• Plugins legítimos que actualizan plantillas a través del editor.

Consejo

Verificar contexto: identidad del usuario, horario, dirección IP y procedimientos de despliegue antes de descartar.

---

Pasos de investigación

1. Confirmar identidad del usuario que editó y revisar los logs de acción.
2. Comparar el archivo modificado con backups o control de versiones.
3. Buscar código ofuscado o funciones peligrosas añadidas.
4. Construir una línea de tiempo: timestamp, IP, número de archivos modificados y correlación con despliegues.
5. Revisar logs de acceso para requests dirigidas a los archivos modificados.

---

Mitigaciones recomendadas

Inmediatas

Peligro

• Revertir cambios sospechosos desde backup o control de versiones.
• Ejecutar análisis completo del sitio con herramientas antimalware.
• Auditar y forzar cambio de credenciales si hubo ediciones no autorizadas.
• Deshabilitar el editor en producción inmediatamente si está activo.

Preventivas

Consejo

Añadir en wp-config.php:

define('DISALLOW_FILE_EDIT', true);
define('DISALLOW_FILE_MODS', true);

• Forzar despliegues mediante control de versiones (CI/CD).
• Implementar monitoreo de integridad de archivos (FIM).
• Registrar y alertar accesos al editor con notificaciones de administración.
• Restringir acceso al panel por IP y habilitar 2FA para cuentas con permisos de edición.

---

Referencias

• WordPress Hardening Guide
• OWASP Code Injection Guidance