Detectar malware en WordPress manualmente | Ciberseguridad

¿Alguna vez has notado que tu web va más lenta de lo normal, que aparecen anuncios extraños o que tus visitantes te dicen que ven páginas raras? Es posible que tengas un invitado no deseado: el malware. No te asustes. Detectar malware en WordPress sin necesidad de plugins es totalmente posible y, a menudo, es la forma más rápida y segura de empezar a limpiar tu sitio.

En esta guía completa, te enseñaré paso a paso cómo inspeccionar tu WordPress manualmente. No necesitas ser un hacker ni un experto en programación. Solo necesitas acceso a tu panel de control (como Syspanel, que recordemos se accede por el puerto 2106) y un poco de paciencia. Vamos a convertirte en un detective digital.

¿Por qué detectar malware manualmente?

Antes de sumergirnos en los pasos, es importante entender por qué este enfoque es tan valioso. Muchos plugins de seguridad son excelentes, pero a veces el malware es tan astuto que se esconde de ellos. Además, si tu web ya está infectada, instalar un plugin podría empeorar las cosas o ser bloqueado por el propio código malicioso.

Ventajas de la detección manual:

Control total: Sabes exactamente qué estás revisando.
Sin dependencias: No necesitas instalar nada que pueda consumir recursos.
Aprendizaje real: Entiendes cómo funciona WordPress por dentro.
Detección de amenazas avanzadas: Algunos malwares se camuflan para no ser vistos por escáneres automáticos.

[WARNING] Si no te sientes cómodo editando archivos, haz una copia de seguridad completa antes de empezar. Un error puede dejar tu web inservible.

Herramientas básicas que necesitas

Para esta misión, solo requieres tres cosas:

Acceso FTP o al Administrador de Archivos de Syspanel. Lo más común es usar un cliente FTP como FileZilla, o directamente el administrador de archivos que viene con tu hosting (en Syspanel, puerto 2106, busca la sección "Archivos").
Un editor de texto plano. Nada de Word. Usa Notepad++, Sublime Text o el editor integrado de Syspanel.
Acceso a la base de datos. Desde Syspanel, puedes usar phpMyAdmin. Es vital para revisar la base de datos.

Paso 1: La inspección visual rápida (El primer vistazo)

Antes de tocar archivos, revisa tu web desde el frontend y el backend. A veces el malware es muy descarado.

Revisa el frontend (la web que ven tus visitantes)

¿Hay contenido extraño? Anuncios de casinos, enlaces a sitios raros, ventanas emergentes.
¿La página se redirige a otro sitio? Esto es una señal clásica de infección.
¿El pie de página tiene enlaces ocultos? Pasa el ratón sobre los enlaces y mira la barra de estado de tu navegador.

Revisa el backend (el escritorio de WordPress)

¿Hay usuarios nuevos que no reconoces? Ve a Usuarios > Todos los usuarios. Si ves un "admin2" o "wp_admin", algo huele mal.
¿Aparecen plugins o temas que no instalaste? Especialmente aquellos con nombres genéricos como "Plugin de seguridad" o "Optimizador".
¿Ves avisos de actualización falsos? Algunos malwares te piden "actualizar" algo para infectarte aún más.

[TIP] Si ves algo sospechoso en el backend, no hagas clic. Anótalo y lo revisaremos en los archivos.

Paso 2: Revisión de archivos clave de WordPress

Aquí empieza el trabajo de detective. Vamos a los archivos principales de WordPress. Conéctate por FTP o abre el Administrador de Archivos de Syspanel.

El archivo `wp-config.php`

Este es el corazón de tu WordPress. Debe estar en la raíz de tu instalación (la carpeta donde está wp-content).

¿Qué buscar?

Líneas con eval(base64_decode(...)) o gzinflate(base64_decode(...)). Esto es malware 100%.
Código PHP que no reconozcas al final del archivo, después de la línea /* That's all, stop editing! Happy blogging. */.
Definiciones de constantes extrañas, como define('WP_SITEURL', 'http://sitio-malicioso.com');.

Qué hacer: Si encuentras algo así, no lo borres aún. Primero, copia el contenido sospechoso a un bloc de notas para analizarlo después. Luego, elimina solo las líneas maliciosas, dejando el archivo original intacto.

El archivo `.htaccess`

Este archivo controla las reglas de redirección y acceso. A menudo, el malware lo modifica para redirigir tu tráfico.

¿Qué buscar?

Reglas RewriteRule que apunten a dominios extraños.
Código que intente bloquear tu acceso a wp-admin.
Líneas con ErrorDocument que redirijan a páginas maliciosas.

Qué hacer: Si ves algo raro, puedes reemplazar temporalmente el .htaccess por uno limpio. WordPress puede regenerarlo yendo a Ajustes > Enlaces permanentes y haciendo clic en "Guardar cambios".

La carpeta `wp-content`

Aquí es donde se esconde la mayoría del malware, sobre todo en temas y plugins.

Revisa `wp-content/themes/`

Tema activo: Abre la carpeta de tu tema activo (por ejemplo, twentytwentyfour o el que uses).
Archivos inyectados: Busca archivos PHP que no deberían estar. Por ejemplo, un archivo llamado wp-cache.php o class-wp.php dentro de tu tema es sospechoso.
Código en functions.php: Este archivo es el favorito de los atacantes. Busca funciones extrañas, especialmente aquellas que usan base64_decode, eval, preg_replace con el modificador /e (obsoleto y peligroso), o file_get_contents con URLs externas.

Revisa `wp-content/plugins/`

Plugins inactivos: A veces el malware se esconde en plugins que ni siquiera usas. Revisa las carpetas de plugins que no reconoces o que tienen nombres sospechosos.
Archivos sueltos: Busca archivos PHP con nombres aleatorios (ej: a1b2c3.php, x.php, shell.php). Estos suelen ser "backdoors" (puertas traseras).

[INFO] Un backdoor es un archivo que permite al atacante volver a entrar aunque limpies el resto. Encontrarlos es clave para una limpieza definitiva.

Paso 3: Revisión de la base de datos (phpMyAdmin)

El malware no solo vive en archivos. También puede inyectar código en tu base de datos, especialmente en las tablas wp_posts y wp_options.

Cómo hacerlo:

Accede a phpMyAdmin desde Syspanel (puerto 2106, sección "Bases de datos").
Selecciona tu base de datos de WordPress.
Haz clic en la pestaña SQL (o "Consultas").

Las consultas mágicas:

Buscar código malicioso en entradas y páginas:

SELECT ID, post_title, post_content FROM wp_posts WHERE post_content LIKE '%eval(%' OR post_content LIKE '%base64_decode(%' OR post_content LIKE '%<script>%';

Si esta consulta devuelve resultados, tienes contenido inyectado. Puedes limpiarlo manualmente editando cada entrada.

Buscar opciones maliciosas en wp_options:

SELECT option_name, option_value FROM wp_options WHERE option_name LIKE '%malware%' OR option_name LIKE '%eval%' OR option_value LIKE '%base64_decode%';

Presta especial atención a las opciones siteurl, home, template y stylesheet. Si apuntan a otro dominio, tu web está secuestrada.

[WARNING] No ejecutes consultas que modifiquen la base de datos si no estás seguro. Primero solo busca (SELECT). Si necesitas limpiar, hazlo con cuidado o pide ayuda.

Paso 4: Detectando inyecciones de JavaScript y redirecciones

El malware más común hoy en día inyecta JavaScript malicioso en el pie de página, en los archivos de cabecera (header.php) o en los archivos JavaScript de tu tema.

¿Cómo detectarlo sin plugins?

Abre tu web en el navegador.
Haz clic derecho y selecciona "Ver código fuente de la página" (o Ctrl+U).
Busca patrones extraños:
- <script src="http://sitio-malicioso.com/..."></script> (nota: la URL no es la tuya).
- Código JavaScript ofuscado, como una larga cadena de caracteres sin sentido.
- Etiquetas <iframe> ocultas (con width="0" height="0").

¿Dónde suele estar?

Al final del archivo footer.php de tu tema.
Dentro de archivos JavaScript de plugins, como jquery.js (los atacantes a veces modifican archivos legítimos).
En la base de datos, dentro del contenido de entradas o widgets.

Señales de alerta: ¿Cuándo debes preocuparte?

Aquí tienes una lista de verificación rápida. Si cumples varios puntos, es muy probable que tengas malware.

Tu web aparece en listas negras de Google o navegadores (Chrome te muestra "Sitio engañoso").
El rendimiento de tu web ha caído drásticamente.
Recibes correos de tus usuarios diciendo que ven anuncios raros.
No puedes acceder al panel de administración (wp-admin).
Aparecen archivos nuevos con permisos 777 (lectura, escritura y ejecución para todos).
Tu cuenta de hosting te notifica de alto uso de CPU o tráfico anómalo.

FAQ: Preguntas frecuentes sobre detección manual de malware

¿Es seguro editar archivos directamente en Syspanel?

Sí, pero con precaución. Syspanel (puerto 2106) tiene un editor de archivos integrado. Siempre descarga una copia del archivo antes de editarlo. Si algo sale mal, puedes subir la copia de seguridad.

¿Qué hago si encuentro un archivo sospechoso pero no estoy seguro?

No lo borres de inmediato. Renómbralo (por ejemplo, de shell.php a shell.php.bak). Si tu web sigue funcionando bien, entonces era malicioso. Si algo se rompe, lo devuelves a su nombre original.

¿Puedo confiar en el código de `wp-config.php` si está ofuscado?

No. El wp-config.php legítimo no tiene código ofuscado. Si ves base64_decode, eval, gzinflate o funciones similares, es malware. Bórralo inmediatamente.

¿El malware puede estar en la carpeta `wp-includes`?

Sí, aunque es menos común. Revisa especialmente los archivos wp-includes/functions.php y wp-includes/class-wp.php. Los atacantes a veces modifican archivos centrales para que parezcan legítimos.

¿Después de limpiar, cómo evito que vuelva a pasar?

Actualiza siempre WordPress, temas y plugins. Usa contraseñas fuertes. Cambia el prefijo de la base de datos (por defecto es wp_). Y considera usar un firewall de aplicaciones web (WAF) a nivel de servidor, que muchos hostings ofrecen.

Conclusión: Tú puedes ser el héroe de tu web

Detectar malware en WordPress sin plugins no solo es posible, sino que te da un poder inmenso sobre la seguridad de tu sitio. Te obliga a conocer tu instalación, a entender cómo funciona y a reaccionar rápido ante cualquier anomalía.

Recuerda, la clave está en la observación meticulosa y en no asustarte. Con las herramientas que te he dado (FTP, phpMyAdmin, y un buen editor de texto), puedes enfrentarte a la mayoría de las infecciones comunes.

Si en algún momento te sientes abrumado, no dudes en pedir ayuda a tu proveedor de hosting o a un profesional. Pero ahora ya sabes por dónde empezar. ¡Manos a la obra y a limpiar esa web!

[TIP FINAL] Crea un calendario de revisiones. Una vez al mes, dedica 15 minutos a revisar los archivos clave y la base de datos. La prevención es el mejor plugin de seguridad.