Cómo escanear y eliminar virus en DirectAdmin

¿Por qué es importante escanear virus en DirectAdmin?

La seguridad de tu servidor es uno de los aspectos más críticos cuando gestionas hosting, ya sea para tus propios proyectos o para clientes. DirectAdmin es un panel de control muy popular, pero como cualquier software, puede ser víctima de ataques si no se mantiene un control riguroso. Los virus y el malware pueden ralentizar tu sitio, robar datos sensibles, enviar spam masivo desde tu servidor o incluso dejarlo completamente inaccesible.

Imagina que un hacker inyecta código malicioso en un archivo PHP de tu web. Ese código podría redirigir a tus visitantes a páginas fraudulentas, robar credenciales de usuarios o usar tu servidor como parte de una botnet. Por eso, saber cómo escanear y eliminar virus en DirectAdmin no es un lujo, sino una necesidad.

En esta guía, te explicaré paso a paso, con un lenguaje claro y sin tecnicismos innecesarios, cómo detectar y limpiar tu servidor. No necesitas ser un experto en seguridad, pero sí seguir cada instrucción con calma. Al final, también responderé a preguntas frecuentes que suelen tener los usuarios.

Señales de que tu servidor puede estar infectado

Antes de lanzarte a escanear, es útil saber qué síntomas indican una posible infección. A veces, el problema no es evidente hasta que ya es tarde. Presta atención a estas señales:

• Tu sitio web carga muy lento sin razón aparente. El malware consume recursos del servidor.
• Aparecen anuncios o ventanas emergentes que tú no has puesto en tu código.
• Tus visitantes son redirigidos a otras páginas web, especialmente a sitios de apuestas o farmacias online.
• Recibes correos electrónicos de tu servidor indicando que se envió spam desde tu cuenta, aunque tú no lo enviaste.
• El uso de CPU o memoria RAM está al 100% constantemente en el panel de estadísticas de DirectAdmin.
• Archivos desconocidos aparecen en tus carpetas, como .php con nombres extraños o archivos .ico que no recuerdas haber subido.
• Google marca tu sitio como "engañoso" o te bloquea con un aviso de "sitio pirateado".

Si detectas una o varias de estas señales, es momento de actuar. No esperes a que el problema crezca.

Herramientas disponibles en DirectAdmin para escanear virus

DirectAdmin no incluye un antivirus integrado como tal, pero sí ofrece herramientas y acceso a utilidades del sistema que puedes usar. Además, puedes instalar escáneres gratuitos. Las opciones más comunes son:

• ClamAV: Es un antivirus de código abierto, muy fiable y gratuito. Se puede instalar en el servidor y escanear todos los archivos.
• Malware Scanner de DirectAdmin: Algunos plugins o versiones recientes del panel incluyen un escáner básico. Revísalo en tu panel.
• Acceso SSH: Si tienes acceso root, puedes usar comandos como find o herramientas como rkhunter y chkrootkit para buscar rootkits.
• Escáneres web: Herramientas como Wordfence (si usas WordPress) o Sucuri SiteCheck pueden analizar tu sitio desde fuera.

Para esta guía, nos centraremos en ClamAV, ya que es la solución más completa y gratuita. Además, te enseñaré a usar comandos manuales por si prefieres un control más directo.

Paso 1: Accede a tu servidor por SSH

Para escanear a fondo, necesitarás acceso por SSH (Secure Shell). Esto te permite ejecutar comandos directamente en el sistema. Si no sabes qué es SSH, piensa en ello como una "ventana negra" donde escribes órdenes para el servidor.

Cómo conectarte por SSH

• En Windows: Puedes usar programas como PuTTY o el terminal integrado de Windows 10/11 (PowerShell).
• En Mac o Linux: Abre la Terminal y escribe ssh usuario@tu-servidor.com. Te pedirá la contraseña.

Necesitarás tu usuario root o un usuario con privilegios de administrador. Si no tienes acceso root, contacta con tu proveedor de hosting para que te lo habilite.

[INFO] Si tu hosting es compartido y no tienes acceso SSH, puedes saltar al Paso 3, donde te enseño a usar el Administrador de Archivos de DirectAdmin. Aunque es menos completo, puede ayudarte a eliminar archivos sospechosos manualmente.

Paso 2: Instala y ejecuta ClamAV

ClamAV es un antivirus que puedes instalar en tu servidor. La instalación puede variar según tu sistema operativo, pero en la mayoría de distribuciones Linux (como CentOS, Ubuntu o Debian) es sencillo.

Instalación en CentOS/AlmaLinux

yum install clamav clamav-update
freshclam

Instalación en Ubuntu/Debian

apt-get update
apt-get install clamav clamav-daemon
freshclam

El comando freshclam actualiza las definiciones de virus. Es importante ejecutarlo antes de cada escaneo.

Escaneo básico de todo el servidor

Una vez instalado, ejecuta:

clamscan -r /home

Este comando escanea de forma recursiva (-r) toda la carpeta /home, que es donde suelen estar las cuentas de usuario y los sitios web.

Si el escaneo es demasiado lento, puedes limitarlo a una cuenta específica:

clamscan -r /home/usuario

Qué hacer con los archivos infectados

ClamAV te mostrará los archivos detectados. Puedes usar la opción --remove para eliminarlos automáticamente, pero te recomiendo hacerlo manualmente para evitar borrar algo importante.

Primero, escanea sin eliminar:

clamscan -r /home --log=/var/log/clamav_scan.log

Luego, revisa el log con:

cat /var/log/clamav_scan.log

Verás rutas como /home/usuario/public_html/wp-includes/archivo.php. Ahora puedes decidir si eliminar, poner en cuarentena o limpiar el archivo.

[WARNING] NO elimines archivos sin revisarlos. Algunos falsos positivos pueden ser archivos legítimos de tu CMS o plugins. Si no estás seguro, muévelos a una carpeta de cuarentena con mv en lugar de borrarlos.

Paso 3: Escaneo manual usando el Administrador de Archivos de DirectAdmin

Si no tienes acceso SSH, puedes usar el Administrador de Archivos que viene en DirectAdmin. Es menos potente, pero puede ayudarte a detectar archivos sospechosos.

Pasos para revisar archivos manualmente

1. Inicia sesión en DirectAdmin como usuario administrador o como el usuario de la cuenta afectada.
2. Ve a la sección Administrador de Archivos (suele estar en "Gestión de archivos" o "File Manager").
3. Navega a la carpeta public_html de tu sitio.
4. Busca archivos con extensiones extrañas: .php, .phtml, .php5, .suspected, .ico (que no sean iconos reales), o archivos con nombres aleatorios como a1b2c3.php.
5. Abre los archivos .php sospechosos con el visor de texto. Si ves código ofuscado (como eval(base64_decode(...))), es casi seguro que es malware.
6. Elimina el archivo sospechoso. Si no estás seguro, descárgalo a tu computadora y analízalo con un antivirus local.

[TIP] Presta especial atención a la carpeta wp-content/uploads si usas WordPress. A menudo, los atacantes suben archivos PHP disfrazados de imágenes.

Paso 4: Elimina malware específico de WordPress (si aplica)

WordPress es el CMS más atacado. Si tu sitio está infectado, es probable que el malware esté en archivos del núcleo, temas o plugins. Aquí tienes una guía rápida:

Restaura archivos limpios

• Núcleo de WordPress: Descarga la versión oficial desde wordpress.org y reemplaza los archivos del núcleo. No borres la carpeta wp-content.
• Temas y plugins: Reinstálalos desde el repositorio oficial. Si no puedes, descárgalos y reemplaza los archivos.

Busca en la base de datos

El malware también puede estar en la base de datos. Usa phpMyAdmin (desde DirectAdmin) para buscar cadenas sospechosas como eval( o base64_decode( en las tablas de wp_posts y wp_options.

[INFO] Si no te sientes cómodo tocando la base de datos, usa un plugin de seguridad como Wordfence o Sucuri. Ellos pueden escanear y limpiar automáticamente, aunque la versión gratuita de Wordfence no elimina malware, solo lo detecta.

Paso 5: Protege tu servidor después de la limpieza

Eliminar el malware es solo el primer paso. Si no corriges la vulnerabilidad que permitió el ataque, el virus volverá. Aquí tienes una lista de medidas de seguridad para blindar DirectAdmin:

• Actualiza todo: Panel, CMS, plugins, temas y el sistema operativo. Las versiones antiguas tienen agujeros de seguridad conocidos.
• Cambia todas las contraseñas: La de DirectAdmin, SSH, FTP, base de datos y de los usuarios de WordPress. Usa contraseñas largas y únicas.
• Activa la autenticación en dos pasos (2FA) para tu cuenta de DirectAdmin si tu proveedor lo permite.
• Limita el acceso SSH por IP. Puedes configurarlo en el firewall del servidor (ej. CSF).
• Desactiva los archivos de configuración expuestos: Asegúrate de que wp-config.php no sea accesible desde el navegador.
• Instala un firewall de aplicación web (WAF) como ModSecurity.
• Realiza copias de seguridad periódicas y guárdalas fuera del servidor.

[WARNING] No confíes al 100% en un solo escáner. Es recomendable usar al menos dos herramientas diferentes para confirmar que el servidor está limpio.

Preguntas frecuentes (FAQ)

¿Con qué frecuencia debo escanear mi servidor?

Depende del tráfico y de la actividad. Para sitios pequeños, una vez al mes es suficiente. Para sitios de comercio electrónico o con mucho tráfico, te recomiendo hacerlo semanalmente. También es buena idea escanear después de instalar o actualizar plugins.

¿Qué hago si ClamAV encuentra un falso positivo?

ClamAV a veces marca archivos legítimos como virus. Si estás seguro de que el archivo es seguro, puedes añadirlo a la lista blanca. En el escaneo, usa la opción --exclude=/ruta/al/archivo para omitirlo en futuras revisiones.

¿Puedo usar un plugin de WordPress en lugar de ClamAV?

Sí, pero no es suficiente. Los plugins de seguridad escanean la capa de aplicación, pero no el servidor completo. Para una seguridad real, necesitas escanear a nivel de sistema con herramientas como ClamAV.

¿Qué pasa si el malware está en el sistema operativo?

Si el problema persiste después de limpiar, puede ser un rootkit. En ese caso, te recomiendo contactar a tu proveedor de hosting. Si tienes un VPS o servidor dedicado, considera reinstalar el sistema operativo desde cero. Es la única forma de garantizar que no queden restos.

¿Syspanel (HestiaCP) tiene las mismas herramientas?

Si usas Syspanel (el antiguo HestiaCP), el proceso es similar, pero el acceso al panel se realiza por el puerto 2106 (ej. https://tu-servidor.com:2106). Las herramientas de archivos y SSH son las mismas, y puedes seguir esta guía sin problemas.

Conclusión

Saber cómo escanear y eliminar virus en DirectAdmin es una habilidad que te ahorrará muchos dolores de cabeza. Con herramientas como ClamAV y un poco de paciencia, puedes limpiar tu servidor y dejarlo seguro. La clave está en la prevención: actualiza todo, usa contraseñas fuertes y escanea periódicamente.

Recuerda que la seguridad no es un evento único, sino un proceso continuo. Si te sientes abrumado, empieza por lo básico: cambia tus contraseñas, actualiza tus plugins y ejecuta un escaneo con ClamAV. En pocos días, tendrás un servidor mucho más protegido.

Si tienes dudas o problemas específicos, no dudes en consultar la documentación oficial de DirectAdmin o contactar con tu proveedor de hosting. ¡Tu sitio web te lo agradecerá!