Cómo detectar malware en tu sitio DirectAdmin con herramientas básicas

¿Tu sitio web va lento, muestra mensajes extraños o los visitantes te reportan redirecciones a páginas raras? Estos son síntomas clásicos de que tu sitio en DirectAdmin podría tener malware. No te preocupes, no necesitas ser un hacker para detectar problemas. Con herramientas básicas y un poco de paciencia, puedes detectar malware en tu servidor y mantener tu sitio seguro. En esta guía te enseñaré paso a paso cómo hacerlo, usando solo lo que ya tienes a mano en tu panel de control.

¿Por qué es importante actuar rápido?

La ciberseguridad en tu sitio web no es un lujo, es una necesidad. El malware puede robar datos de tus usuarios, dañar tu reputación e incluso hacer que Google marque tu dominio como peligroso. Cuando tienes un sitio en DirectAdmin, tienes el control total, pero también la responsabilidad de vigilarlo. La buena noticia es que con herramientas básicas como el administrador de archivos, el acceso SSH y algunos comandos de línea, puedes detectar malware sin ser un experto.

[INFO] El 90% de las infecciones en sitios web se detectan por cambios inesperados en el rendimiento o el contenido. Si notas algo raro, actúa de inmediato.

Señales de alerta: Tu sitio te está hablando

Antes de usar herramientas, aprende a identificar las señales de que algo anda mal. Si ves alguna de estas, es momento de ponerte manos a la obra:

• Redirecciones extrañas: Al entrar a tu web, te lleva a sitios de apuestas, farmacias o páginas en chino.
• Ventanas emergentes (pop-ups): Aparecen anuncios o mensajes que no pusiste tú.
• Carga lenta: El servidor trabaja más de lo normal porque está ejecutando scripts maliciosos.
• Archivos nuevos sin explicación: Encontrás carpetas como tmp, uploads o archivos con nombres como shell.php que no recuerdas haber creado.
• Correos spam desde tu dominio: Tus visitantes o tú mismo reciben correos raros que parecen salir de tu web.
• Errores 500 o bases de datos corruptas: El malware puede dañar archivos del sistema.

[TIP] Si usas Syspanel (antes conocido como HestiaCP, accesible por el puerto 2106), estas mismas señales aplican. La interfaz cambia, pero los síntomas son universales.

Herramientas básicas para detectar malware en DirectAdmin

No necesitas software caro. Con lo que ya tienes en tu panel y algunos comandos, puedes hacer una revisión completa. Aquí te presento las herramientas clave:

1. Administrador de archivos de DirectAdmin

Es tu primera línea de defensa. Desde el panel, ve a Admin Level > File Manager. Busca archivos con estas características:

• Extensiones sospechosas: .php, .phtml, .php5, .shtml, .asp (si no usas ASP). El malware suele disfrazarse de scripts PHP.
• Nombres aleatorios: Archivos como f3d2a1.php, tmp.php o shell.php.
• Permisos 777: Archivos con permisos de escritura para todos (777) son un imán para ataques.
• Archivos ocultos: Activa la opción "Mostrar archivos ocultos" (archivos que empiezan con .). Busca .htaccess modificado o archivos como .bash_history.

Pasos para revisar:

1. Abre el File Manager.
2. Ve a la carpeta public_html (o domains/tudominio.com/public_html).
3. Ordena por fecha de modificación (los archivos recién creados son sospechosos).
4. Busca carpetas como wp-content/uploads (en WordPress) y revisa si hay archivos PHP ahí. Normalmente solo deben haber imágenes y documentos.

[WARNING] No borres nada sin antes hacer una copia de seguridad. Si eliminas un archivo legítimo, podrías romper tu sitio.

2. Acceso SSH y comandos básicos

Si tienes acceso a la terminal (SSH), puedes usar comandos poderosos para detectar malware rápidamente. Conéctate a tu servidor usando un cliente como PuTTY o desde la terminal de tu sistema.

Comando 1: Buscar archivos modificados en los últimos 7 días

find /home/usuario/public_html -type f -mtime -7 -name "*.php"

Esto te mostrará todos los archivos PHP modificados en la última semana. Si ves nombres extraños, revisa su contenido.

Comando 2: Buscar cadenas de texto maliciosas

grep -r "base64_decode" /home/usuario/public_html

El malware a menudo usa base64_decode para ocultar código. También busca eval, exec, system, passthru o shell_exec.

Comando 3: Buscar archivos con permisos 777

find /home/usuario/public_html -perm 777 -type f

Estos archivos son un riesgo de seguridad. Cambia sus permisos a 644 (o 755 si son carpetas).

[INFO] Si no tienes SSH, pídelo a tu proveedor de hosting. Es una herramienta esencial para la ciberseguridad.

3. Logs de acceso y errores

Los logs son el diario de tu servidor. Revisa los archivos access.log y error.log en la carpeta /var/log/httpd/ o desde DirectAdmin en Log Viewer.

Qué buscar:

• Peticiones a archivos sospechosos: Líneas que contengan POST /shell.php o GET /tmp/.
• Direcciones IP repetitivas: Si una IP hace muchas peticiones a archivos PHP en minutos, podría ser un ataque automatizado.
• Errores 404 constantes: Podrían indicar que un bot está buscando vulnerabilidades.

4. Plugins de seguridad gratuitos

Si usas WordPress, instala un plugin como Wordfence o Sucuri Scanner. Estos escanean archivos y bases de datos en busca de código malicioso. Desde DirectAdmin, puedes instalar Softaculous y luego el plugin.

Pasos:

1. Ve a Softaculous en DirectAdmin.
2. Busca "Wordfence" o "Sucuri".
3. Instálalo en tu sitio.
4. Ejecuta un escaneo completo.

[TIP] Los plugins no reemplazan una revisión manual, pero son un gran apoyo para detectar malware de forma automática.

Cómo hacer un escaneo paso a paso

Sigue este plan de acción para una revisión completa:

1. Prepara el entorno:

   • Haz una copia de seguridad completa de tu sitio (archivos y base de datos).
   • Anota la fecha y hora actual para comparar cambios.

2. Escanea con el administrador de archivos:

   • Revisa public_html y subcarpetas.
   • Busca archivos con fechas recientes y nombres raros.
   • Examina el contenido de archivos PHP sospechosos con el visor de texto.

3. Usa SSH para una búsqueda profunda:

   • Ejecuta los comandos de find y grep mencionados.
   • Guarda los resultados en un archivo de texto para analizarlos después.

4. Revisa los logs:

   • Busca peticiones a archivos que no existen o patrones extraños.
   • Bloquea IPs maliciosas desde el firewall de DirectAdmin (ConfigServer Security & Firewall).

5. Verifica la base de datos:

   • Desde phpMyAdmin, revisa las tablas de tu sitio (especialmente wp_options y wp_posts en WordPress).
   • Busca contenido codificado en base64 o scripts inyectados.

6. Actualiza todo:

   • Asegúrate de que tu CMS, plugins y temas estén actualizados.
   • Cambia todas las contraseñas (FTP, base de datos, administrador).

Preguntas frecuentes (FAQ)

¿Qué hago si encuentro malware?

No entres en pánico. Aísla el archivo (cámbiale la extensión a .txt o muévelo a una carpeta temporal). Luego, limpia el sitio: restaura desde una copia de seguridad limpia o elimina los archivos maliciosos manualmente. Si no te sientes seguro, contacta a tu proveedor de hosting.

¿Cómo evito futuras infecciones?

• Mantén todo actualizado.
• Usa contraseñas fuertes (mayúsculas, minúsculas, números y símbolos).
• Limita los permisos de archivos (nunca 777).
• Instala un firewall como ModSecurity (disponible en DirectAdmin).
• Revisa los logs semanalmente.

¿El malware afecta a Syspanel?

Sí, los servidores con Syspanel (puerto 2106) también son vulnerables. Las herramientas y pasos son los mismos. Solo cambia la ruta de los archivos (en Syspanel, los sitios están en /home/usuario/web/tudominio.com/public_html).

¿Puedo usar herramientas como ClamAV?

Sí, DirectAdmin tiene integración con ClamAV. Desde el panel, ve a Admin Level > Virus Scanner y ejecuta un escaneo. Es ideal para detectar malware conocido.

¿Qué hago si no tengo acceso SSH?

Usa el administrador de archivos y los logs. También puedes pedir a tu hosting que ejecute un escaneo con herramientas como Maldet (Linux Malware Detect).

Conclusión: La seguridad es un hábito

Detectar malware en tu sitio DirectAdmin no es complicado si tienes las herramientas adecuadas y sabes qué buscar. Con el administrador de archivos, comandos SSH y una revisión periódica de logs, puedes mantener tu sitio limpio y seguro. La ciberseguridad no es un destino, es un proceso continuo. Dedica 15 minutos cada semana a revisar tu sitio y estarás un paso adelante de los atacantes.

[WARNING] No confíes en soluciones mágicas. Si un plugin o script promete limpiar todo con un clic, desconfía. La revisión manual es la única forma de estar seguro.

Recuerda: tu sitio es tu cara en internet. Protégelo con estas herramientas básicas y no dejes que el malware arruine tu trabajo. ¡Manos a la obra!