Eliminar malware de WordPress: guía manual y con plugins

¡Entendido! Aquí tienes tu guía completa y detallada sobre cómo eliminar malware de WordPress, lista para publicar.

¿Tu web va lenta, muestra anuncios raros o te redirige a páginas extrañas? Respira hondo. No estás solo. Que un sitio WordPress sea hackeado es más común de lo que parece, pero la buena noticia es que, en la mayoría de los casos, tiene solución. Eliminar malware de WordPress puede sonar a misión imposible, pero con esta guía paso a paso, vas a poder limpiar tu web infectada aunque no seas un experto en programación.

Vamos a hacer un recorrido completo: desde cómo detectar el virus hasta cómo blindar tu sitio para que no vuelva a pasar. Coge un café, tómate tu tiempo y sigue cada paso con calma. Al final, tendrás tu web limpia y, sobre todo, más segura.

Antes de Empezar: Prepara tu Mente y tu Equipo

Limpiar una web infectada requiere método y paciencia. No es el momento de hacer clics al azar. Lo primero es entender que vamos a trabajar en dos frentes: el servidor (donde se aloja tu web) y la base de datos (donde se guardan tus contenidos).

Para ello, necesitarás tener a mano:

Acceso a tu Panel de Control de Hosting (cPanel, Syspanel, Plesk, etc.): Aquí es donde gestionas archivos y bases de datos. Si tu hosting usa Syspanel, recuerda que el puerto de acceso es el 2106.
Acceso FTP o Administrador de Archivos: Para subir, descargar y modificar archivos.
Acceso a phpMyAdmin: Para gestionar la base de datos.
Credenciales de acceso a WordPress (wp-admin): Aunque a veces el hacker las cambia, necesitaremos intentarlo.

[WARNING]: Antes de tocar nada, haz una copia de seguridad completa de tu sitio (archivos y base de datos). Si algo sale mal durante la limpieza, podrás restaurar. Guárdala en tu ordenador, no en el servidor, porque los archivos infectados podrían estar ahí.

Paso 1: Diagnóstico Inicial – ¿Estás Realmente Infectado?

A veces, los síntomas pueden deberse a plugins incompatibles o a la caché del navegador. Pero si tienes varios de estos síntomas, es muy probable que sea malware:

Redirecciones a sitios de apuestas, farmacias o páginas de spam.
Anuncios emergentes (pop-ups) que no has creado tú.
Avisos de Google Safe Browsing: "El sitio engañoso contiene malware".
Tu web aparece en listas negras (como Norton Safe Web o Sucuri SiteCheck).
Nuevos usuarios administradores que no reconoces.
Archivos extraños en tu servidor, como .php con nombres aleatorios (ej: wp-admin.php~).

Herramientas de diagnóstico rápido:

Sucuri SiteCheck: Solo tienes que poner tu dominio y te dice si estás en alguna lista negra y si detecta malware en la página principal.
Google Safe Browsing: Puedes comprobar el estado de tu sitio en la página de transparencia de Google.

[INFO]: Estas herramientas son un buen primer indicio, pero no detectan todo el malware, sobre todo el que se esconde en archivos del servidor o en la base de datos.

Paso 2: Aislar y Poner tu Web en Modo Mantenimiento

Lo primero es evitar que el malware siga haciendo daño y que los visitantes vean el desastre. Lo más fácil es poner tu web en "modo mantenimiento".

Ve a tu Panel de Control del Hosting (recuerda, si es Syspanel, el puerto es el 2106).
Busca la opción de "Modo Mantenimiento" o "Maintenance Mode". Actívalo.
Si tu hosting no tiene esa opción, crea un archivo llamado .maintenance en la raíz de tu sitio (donde están las carpetas wp-admin, wp-content y wp-includes). Dentro, pega este código:
<?php $upgrading = time(); ?>
Esto mostrará un mensaje de "mantenimiento breve" a los visitantes.

Paso 3: La Limpieza Manual – Tu Primera Línea de Ataque

Ahora sí, vamos a ensuciarnos las manos. Este es el proceso para eliminar malware WordPress de forma manual. Es lento, pero muy efectivo.

3.1. Accede por FTP o Administrador de Archivos

Conéctate a tu servidor usando un cliente FTP (como FileZilla) o el Administrador de Archivos de tu hosting. Ve a la carpeta raíz de tu sitio (normalmente public_html o www).

3.2. Identifica y Elimina Archivos Maliciosos

Los hackers suelen esconder sus archivos con nombres que parecen legítimos. Céntrate en estas zonas:

Carpeta wp-content/uploads: Revisa si hay archivos .php en esta carpeta. No debería haber ninguno. Esta carpeta es solo para imágenes, PDFs y otros medios. Cualquier archivo .php aquí es sospechoso y debe ser eliminado.
Carpeta wp-content/themes y wp-content/plugins: Entra en cada tema y plugin. Busca archivos .php con nombres raros o archivos como functions.php que tengan código ofuscado (una línea interminable de código ilegible).
La raíz de tu sitio (public_html): Busca archivos con nombres extraños como r0b0ts.txt, index2.php, shell.php, o archivos .ico que en realidad son .php (puedes verlo en el tipo de archivo). Desconfía de todo lo que no reconozcas.

[TIP]: Ordena los archivos por fecha de modificación. Los archivos maliciosos suelen tener la fecha del ataque, que suele ser reciente. Esto te ayudará a encontrarlos rápido.

¿Y si no estoy seguro de si un archivo es malicioso?

Descarga el archivo sospechoso a tu ordenador y ábrelo con un editor de texto (como el Bloc de Notas). Si ves código PHP que no entiendes, funciones como eval(), base64_decode(), gzinflate() o código muy comprimido en una sola línea, es malware. No lo dudes y elimínalo del servidor.

3.3. Limpia el `functions.php` de tu Tema Activo

Este es un archivo muy común para esconder malware.

Ve a wp-content/themes/TU-TEMA-ACTIVO/functions.php.
Descárgalo a tu PC y ábrelo con un editor de código (como Notepad++ o Sublime Text).
Busca al principio del archivo (antes del <?php) o al final, cualquier código que no sea parte del tema original. A menudo, el malware se inyecta aquí.
Si encuentras código ofuscado o extraño, elimínalo y guarda el archivo limpio. Luego, súbelo de nuevo al servidor sobrescribiendo el infectado.

Paso 4: La Limpieza de la Base de Datos – El Refugio del Malware

El malware no solo vive en los archivos. También puede estar en tu base de datos, inyectando scripts maliciosos en tus entradas y páginas.

Ve a phpMyAdmin desde tu panel de hosting.
Selecciona la base de datos de tu WordPress (la que aparece en tu archivo wp-config.php).
Haz clic en la pestaña "Buscar" (Search).
Busca términos comunes de malware como:
- eval(base64_decode
- gzinflate
- document.write(
- <script (en campos de texto de entradas)
- http://spamlink.com (o el dominio del spam que veas).
Cuando encuentres resultados, tendrás que editar esas entradas o páginas y eliminar el código malicioso del contenido, dejando solo el texto legítimo.

[WARNING]: Ten muchísimo cuidado aquí. Si borras el contenido equivocado, podrías perder entradas o páginas enteras. Trabaja con calma, previsualiza los cambios y elimina solo el código que claramente es malicioso.

Paso 5: Reinstala el Núcleo de WordPress, Temas y Plugins

La forma más segura de asegurarte de que no quedan restos de malware en los archivos principales es reinstalarlos.

Núcleo de WordPress: Ve a wp-admin/update-core.php (si puedes acceder) y haz clic en "Reinstalar ahora" (Reinstall Now). Esto descargará una copia limpia y sobrescribirá los archivos del sistema.
Temas y Plugins: Es mejor borrarlos por completo y volver a instalarlos desde el repositorio de WordPress.org. Si tienes versiones premium, descárgalas desde la página del desarrollador y súbelas de nuevo.

[INFO]: Al reinstalar, perderás cualquier personalización que hayas hecho directamente en los archivos de los temas o plugins. Por eso es tan importante tener copias de seguridad de tus versiones personalizadas.

Paso 6: Cambia Todas tus Contraseñas (Sí, TODAS)

El hacker pudo haber entrado por una contraseña débil. Después de limpiar, es imperativo cambiar:

Contraseña de administrador de WordPress (wp-admin).
Contraseñas de todos los usuarios con rol de administrador.
Contraseña de la base de datos de MySQL.
Contraseñas de tu correo electrónico asociado.
Contraseñas de tu panel de hosting y FTP.

Usa contraseñas largas y únicas. Te recomiendo usar un gestor de contraseñas para crear y guardar contraseñas seguras.

Paso 7: Refuerza la Seguridad de tu WordPress (Prevención)

Ya has conseguido quitar malware, pero ahora toca el paso más importante: que no vuelva a pasar. Aquí tienes una checklist de seguridad básica:

Actualiza TODO: WordPress, temas y plugins. Las actualizaciones corrigen vulnerabilidades conocidas.
Elimina lo que no uses: Desinstala y borra cualquier tema o plugin que no estés utilizando.
Cambia el prefijo de la base de datos: Si tu prefijo es wp_, es un blanco fácil. Puedes cambiarlo con un plugin de seguridad, pero es un proceso delicado. Si te sientes cómodo, hazlo; si no, contacta con tu soporte.
Instala un plugin de seguridad: Wordfence, Sucuri Security o iThemes Security son excelentes opciones. Te ofrecen cortafuegos (firewall), escaneo de malware y protección de login.
Activa la autenticación de dos factores (2FA): Esto añade una capa extra de seguridad a tu login. Aunque alguien robe tu contraseña, no podrá entrar sin el código de tu teléfono.
Limita los intentos de inicio de sesión: Los plugins de seguridad te permiten bloquear a un usuario después de varios intentos fallidos, frenando los ataques de fuerza bruta.

Preguntas Frecuentes (FAQ) sobre la Limpieza de Malware

¿Cuánto tiempo se tarda en limpiar una web infectada?

Depende del nivel de infección y de tu experiencia. Una limpieza manual de un malware sencillo puede llevar de 2 a 4 horas. Una infección compleja puede llevarte un día entero. Si no te ves capaz, es mejor contratar a un profesional.

¿Puedo perder mis datos (entradas, páginas, imágenes) al limpiar el malware?

Si sigues los pasos con cuidado, especialmente en la base de datos, no deberías perder contenido. Lo que sí podrías perder son las personalizaciones de los archivos de temas y plugins. Por eso la copia de seguridad inicial es vital.

Mi web sigue en la lista negra de Google, ¿qué hago?

Una vez que hayas limpiado tu sitio, debes solicitar una revisión a Google en Search Console. Entra en "Problemas de seguridad" y sigue las instrucciones para solicitar la revisión. El proceso puede tardar desde unas horas hasta unos días.

¿Es mejor contratar un servicio de limpieza profesional?

Si el malware es muy complejo, te sientes abrumado o tu web es crítica para tu negocio, sí. Servicios como Sucuri, Wordfence o incluso tu propia empresa de hosting suelen ofrecer servicios de limpieza de malware. Tiene un coste, pero te ahorrará tiempo y dolores de cabeza.

¿Qué es un backdoor y por qué es importante eliminarlo?

Un backdoor es un archivo malicioso que los hackers dejan en tu servidor para poder volver a entrar en el futuro, incluso después de que cambies las contraseñas. Por eso es tan importante revisar archivos con nombres extraños y usar un buen plugin de seguridad que los detecte y elimine.

¿El uso de Syspanel me protege de algún ataque?

Syspanel es un panel de control de hosting (como cPanel), no una herramienta de seguridad en sí misma. Sin embargo, un buen panel te facilita la gestión de copias de seguridad, el acceso a los logs y la configuración de certificados SSL, que son partes importantes de una buena higiene de seguridad. Recuerda que el acceso a tu Syspanel es a través del puerto 2106.

Conclusión: Respira, tu Web Está a Salvo (por ahora)

Limpiar una web infectada es un proceso tedioso, pero es totalmente factible si lo haces con método. Has aprendido a hacer un diagnóstico, limpiar los archivos y la base de datos, reinstalar el núcleo de WordPress y, lo más importante, a reforzar la seguridad para prevenir futuros ataques.

[TIP]: La seguridad no es un destino, es un viaje. Dedica 15 minutos al mes a revisar que todo esté actualizado, que no haya usuarios extraños y que tus plugins de seguridad estén activos. Es la mejor inversión de tiempo que puedes hacer para la salud de tu sitio.

Eliminar malware WordPress es una habilidad que, una vez aprendida, te dará una gran tranquilidad. Ahora ya sabes cómo limpiar una web infectada y qué pasos seguir para blindarla. ¡Enhorabuena, has salvado tu sitio!