Escanear y Eliminar Malware en Plesk: Guía Práctica

¿Por qué tu web en Plesk puede infectarse y cómo actuar rápido?

Imagina que un día entras a tu página web y en lugar de ver tu diseño perfecto, aparece un anuncio extraño, una redirección a un sitio raro o un mensaje de tu proveedor de hosting diciendo que tu cuenta está suspendida por actividad maliciosa. Esto es más común de lo que piensas. Los hackers no distinguen entre grandes empresas y pequeños blogs; simplemente buscan vulnerabilidades en el software, contraseñas débiles o plugins desactualizados.

La buena noticia es que, si tu hosting usa Plesk, tienes herramientas potentes a tu disposición para escanear y eliminar malware en Plesk sin necesidad de ser un experto en seguridad. En esta guía extensa, te voy a explicar paso a paso, con un lenguaje claro y directo, cómo detectar, limpiar y blindar tu sitio web. No necesitas conocimientos avanzados de programación, solo seguir las instrucciones con calma.

Vamos a empezar por lo básico: entender qué tipo de amenazas existen y cómo llegan a tu servidor. Después, pasaremos a la acción práctica: escanear virus Plesk, analizar los resultados, limpiar los archivos infectados y, lo más importante, prevenir futuros ataques. Al final, tendrás un checklist de seguridad que podrás aplicar mensualmente.

Entendiendo la amenaza: ¿Qué es el malware y cómo afecta a tu sitio?

El malware (software malicioso) es cualquier código diseñado para dañar, robar información o tomar control de tu sitio sin tu permiso. En el contexto de un servidor con Plesk, el malware suele manifestarse de varias formas:

Inyecciones de código: Archivos PHP o JavaScript modificados que redirigen a los usuarios a sitios de phishing o descargan más virus.
Backdoors: Archivos ocultos que permiten a los atacantes entrar y salir de tu servidor cuando quieran, incluso después de que cambies tus contraseñas.
Spam y SEO poisoning: Tu web empieza a generar páginas con contenido de spam (como medicamentos falsos o casinos) que los buscadores indexan, dañando tu reputación online.
Ransomware: Aunque es menos común en webs, algunos atacantes cifran tus archivos y piden un rescate.

¿Cómo llegan? Las vías más habituales son:

Plugins o temas desactualizados en WordPress, Joomla, etc.
Contraseñas débiles en el panel de administración, FTP o bases de datos.
Vulnerabilidades en el propio CMS o en el servidor.
Ataques de fuerza bruta automatizados que prueban miles de combinaciones.
Archivos subidos por usuarios si tienes un formulario de carga sin proteger.

Si sospechas que tu web está infectada, no entres en pánico. Muchos ataques son automatizados y no tienen un objetivo personal contra ti. Lo importante es actuar rápido para limpiar web infectada y evitar daños mayores.

Preparación antes de escanear: Haz una copia de seguridad

Antes de ejecutar cualquier herramienta de limpieza, es obligatorio hacer una copia de seguridad completa de tu sitio y de tu base de datos. ¿Por qué? Porque algunos escáneres pueden marcar falsos positivos (archivos legítimos que parecen sospechosos) y si eliminas algo importante, podrías romper tu web.

En Plesk, el proceso es muy sencillo:

Accede a tu panel de Plesk (normalmente en https://tu-dominio.com:8443 o la URL que te haya dado tu proveedor).
Ve a la sección "Sitios web y dominios".
Selecciona tu dominio y haz clic en "Copia de seguridad".
Elige "Crear una copia de seguridad" y selecciona la opción completa (archivos + bases de datos).
Guarda la copia en un lugar remoto (descárgala a tu ordenador o a un almacenamiento en la nube) y también puedes dejarla en el servidor si tienes espacio.

[WARNING] No confíes únicamente en la copia de seguridad del servidor. Si el malware corrompe el sistema, podría afectar también a las copias antiguas. Descarga siempre una copia local antes de empezar a limpiar.

Una vez que tengas tu respaldo seguro, ya puedes proceder con los escaneos.

Método 1: Escáner de seguridad integrado en Plesk (la forma más fácil)

La mayoría de las versiones modernas de Plesk incluyen una herramienta de seguridad llamada "Protección de seguridad" o "Security Advisor". Esta herramienta analiza la configuración del servidor y busca vulnerabilidades conocidas, pero no siempre detecta malware en los archivos de tu web. Para eso, necesitamos herramientas más específicas.

Sin embargo, es un buen primer paso. Aquí tienes cómo usarlo:

En el panel principal de Plesk, busca la sección "Herramientas y configuración".
Haz clic en "Security Advisor" (o "Asesor de seguridad").
Ejecuta el análisis. Te mostrará un informe con puntos de mejora, como contraseñas débiles, actualizaciones pendientes o puertos abiertos.
Sigue las recomendaciones que te indique. Muchas de ellas son acciones de un clic.

Este escáner no te va a decir "aquí está el virus", pero te ayudará a cerrar puertas traseras que el malware podría usar. Es una buena práctica ejecutarlo cada semana.

Método 2: Escaneo manual con herramientas gratuitas (para usuarios con algo de experiencia)

Si el Security Advisor no encuentra nada pero sospechas que hay malware, es hora de usar herramientas más potentes. Te recomiendo dos opciones gratuitas y muy efectivas que funcionan directamente desde el administrador de archivos de Plesk o por SSH (si tu proveedor te lo permite).

Usando ImunifyAV (si está disponible)

Muchos hosts que usan Plesk incluyen ImunifyAV preinstalado. Es un escáner de malware muy popular y fácil de usar.

En Plesk, ve a "Sitios web y dominios" y busca tu dominio.
Haz clic en el icono de "ImunifyAV" (suele ser un escudo con una lupa).
Pulsa el botón "Escanear". Puedes elegir un escaneo rápido o completo. Te recomiendo el completo la primera vez.
Espera a que termine. Dependiendo del tamaño de tu web, puede tardar desde unos minutos hasta una hora.
Cuando termine, verás una lista de archivos infectados con su nivel de gravedad.
Para cada archivo, puedes elegir "Cuarentena" (recomendado) o "Eliminar". La cuarentena mueve el archivo a una carpeta segura para que puedas revisarlo antes de borrarlo definitivamente.

[TIP] Si ImunifyAV no aparece en tu panel, contacta con tu proveedor de hosting y pregúntale si pueden activarlo. Es la herramienta más eficaz para eliminar malware Plesk sin complicaciones.

Usando ClamAV (escáner de código abierto)

ClamAV es un antivirus de código abierto que se puede instalar en el servidor. Si tienes acceso SSH, puedes usarlo desde la línea de comandos. Pero si no te sientes cómodo con la terminal, puedes usar la interfaz de Plesk con la extensión "ClamAV" que a veces está disponible en el catálogo de extensiones.

Ve a "Extensiones" en el panel de Plesk.
Busca "ClamAV" y haz clic en "Instalar" si no lo tienes.
Una vez instalado, ve a tu dominio y busca el icono de ClamAV.
Configura el escaneo: selecciona la carpeta raíz de tu web (normalmente httpdocs o public_html).
Ejecuta el escaneo y revisa los resultados.

ClamAV es menos amigable que ImunifyAV, pero es muy fiable para detectar virus conocidos.

Método 3: Limpieza manual de archivos infectados (para casos rebeldes)

Si el malware es sofisticado, los escáneres automáticos podrían no detectarlo. En ese caso, tendrás que inspeccionar manualmente los archivos de tu web. No te asustes, te guío paso a paso.

Paso 1: Accede al administrador de archivos

En Plesk, ve a tu dominio y haz clic en "Administrador de archivos". Esto te muestra todos los archivos de tu web en una interfaz similar a la de Windows.

Paso 2: Busca archivos sospechosos

Los archivos maliciosos suelen tener nombres extraños o ubicaciones inusuales. Presta atención a:

Archivos con nombres aleatorios (ej: d4s8f3.php, x9k2l.js).
Archivos en carpetas donde normalmente no hay nada (ej: dentro de /wp-includes/ con nombres raros).
Archivos con fecha de modificación muy reciente y que no reconoces.
Archivos con doble extensión (ej: imagen.jpg.php).

Paso 3: Revisa el código de los archivos PHP y JS

Abre los archivos .php que no reconozcas y busca código como:

eval(base64_decode(...))
gzinflate(...)
str_rot13(...)
Funciones de conexión a URLs externas (ej: curl_exec, file_get_contents con dominios raros).

[WARNING] No toques archivos del núcleo de WordPress (como wp-config.php) si no estás seguro. Un error aquí puede dejar tu web inservible. Si tienes dudas, consulta con tu proveedor.

Paso 4: Elimina o limpia los archivos

Si encuentras un archivo que claramente es malware, puedes eliminarlo directamente con el botón derecho y "Eliminar". Si el archivo es legítimo pero tiene una inyección, puedes editarlo y borrar las líneas maliciosas.

Cómo limpiar la base de datos (el malware también se esconde ahí)

A veces el malware no está en los archivos, sino en tu base de datos. Esto es típico en WordPress cuando un plugin vulnerable inyecta código malicioso en las tablas.

Paso 1: Accede a phpMyAdmin

En Plesk, ve a tu dominio y busca el icono de "phpMyAdmin". Te pedirá las credenciales de la base de datos (las encuentras en la sección "Bases de datos" de tu dominio).

Paso 2: Busca contenido sospechoso

Ejecuta una búsqueda en todas las tablas. En la pestaña "Buscar", escribe cosas como:

eval(base64_decode
<script>
http://spam-site.com

Esto te mostrará las entradas que contienen ese texto.

Paso 3: Limpia las entradas infectadas

Si encuentras enlaces o scripts maliciosos, puedes editarlos directamente y eliminar el código extra. Si la entrada completa es spam, puedes borrarla.

[TIP] Si no te sientes cómodo editando la base de datos, muchos plugins de seguridad para WordPress (como Wordfence o Sucuri) ofrecen escaneo de base de datos integrado y pueden limpiarla automáticamente.

Prevención: Cómo blindar tu web para que no vuelva a pasar

La limpieza es solo la mitad del trabajo. La otra mitad es evitar que el malware regrese. Aquí tienes las mejores prácticas de seguridad Plesk:

Mantén todo actualizado: Plesk, tu CMS, plugins, temas y PHP. Activa las actualizaciones automáticas si es posible.
Usa contraseñas fuertes: Tanto en el panel de Plesk como en el CMS y las bases de datos. Usa un gestor de contraseñas.
Activa la autenticación en dos pasos (2FA) para tu cuenta de Plesk y para el administrador de tu CMS.
Limita los intentos de inicio de sesión: Plesk tiene una función para bloquear IPs después de varios intentos fallidos. Actívala.
Elimina plugins y temas que no uses: Cada plugin extra es una puerta más para los atacantes.
Configura un firewall de aplicación web (WAF): Plesk ofrece un WAF llamado ModSecurity. Actívalo desde "Herramientas y configuración" > "Protección de la web".
Realiza escaneos periódicos: Programa un escaneo con ImunifyAV o ClamAV cada semana.
Haz copias de seguridad frecuentes: Al menos una vez al mes, y guárdalas en un lugar externo.

Preguntas frecuentes (FAQ) sobre seguridad y malware en Plesk

¿Cuánto tarda en escanear mi web?

Depende del tamaño. Una web pequeña (menos de 500 MB) puede tardar 5-10 minutos con ImunifyAV. Una web grande con muchas imágenes y archivos puede tardar más de una hora. Es normal.

¿Qué hago si mi proveedor ha suspendido mi cuenta por malware?

Contacta con ellos inmediatamente. Muchos proveedores te dan un plazo para limpiar la web antes de suspenderla definitivamente. Si ya está suspendida, pregunta si te permiten acceder al administrador de archivos para limpiarla o si te ofrecen un servicio de limpieza (algunos cobran).

¿Puedo usar varios escáneres a la vez?

Sí, pero no es necesario. Usar ImunifyAV y ClamAV a la vez puede dar resultados redundantes y consumir muchos recursos del servidor. Elige uno y haz escaneos regulares.

¿El malware puede afectar a otros sitios en mi servidor?

Sí, si tienes varios dominios en el mismo servidor, un sitio infectado puede comprometer a los demás. Por eso es importante actuar rápido y aislar el sitio infectado si es posible.

¿Qué hago si no encuentro el malware pero mi web sigue dando problemas?

Revisa los archivos .htaccess y los archivos de configuración del servidor. A veces el malware se esconde ahí. También revisa los cron jobs (tareas programadas) en Plesk, ya que los atacantes suelen crear tareas que ejecutan scripts maliciosos.

Conclusión: La seguridad es un hábito, no un evento

Escanear y eliminar malware en Plesk no tiene por qué ser una pesadilla. Con las herramientas adecuadas y un poco de paciencia, puedes recuperar tu web y mantenerla segura. Recuerda que la prevención es tu mejor aliada: actualizaciones, contraseñas fuertes y copias de seguridad regulares son la base de una seguridad Plesk sólida.

Si en algún momento te sientes abrumado, no dudes en contactar con tu proveedor de hosting. Ellos tienen herramientas más avanzadas y pueden ayudarte a limpiar web infectada de forma profesional. Y si tu proveedor usa un panel alternativo como Syspanel (que se accede por el puerto 2106), los principios son los mismos: busca las secciones de archivos, bases de datos y seguridad.

[INFO] La seguridad informática es un proceso continuo. Lo que funciona hoy puede no ser suficiente mañana. Mantente informado sobre las últimas amenazas y actualiza tus herramientas con regularidad.

Espero que esta guía te haya sido de gran ayuda. Ahora, ve y revisa esa web: tu tranquilidad y la de tus visitantes lo merecen. ¡Buena suerte!