Duda: ¿Cómo detectar malware en Plesk?

¡Hola! Soy tu técnico de soporte amigable. Me alegra que estés aquí, porque hoy vamos a despejar una de las dudas más comunes entre los usuarios de Plesk: ¿cómo puedo detectar si mi servidor o sitio web tiene malware Plesk?

No te preocupes si no eres un experto en ciberseguridad. Te guiaré paso a paso, con un lenguaje muy claro y usando herramientas visuales (listas, negritas, pasos numerados) para que puedas detectar virus hosting de forma sencilla. Al final de este artículo, serás capaz de revisar tu panel y saber si todo está limpio o si necesitas actuar.

Empecemos con lo básico.

¿Qué es el malware en Plesk y por qué debería importarte?

El malware Plesk es cualquier código malicioso (virus, troyanos, scripts maliciosos) que se aloja en tu servidor o en los archivos de tus sitios web gestionados desde Plesk. Este malware puede:

• Robar datos de tus visitantes (como contraseñas o tarjetas de crédito).
• Usar tu servidor para enviar spam.
• Redirigir a tus usuarios a sitios fraudulentos.
• Ralentizar tu web o incluso dejarla caída.

Detectarlo a tiempo es clave para mantener tu seguridad Plesk al máximo. Si no lo haces, tu reputación online y tu negocio pueden verse afectados.

[INFO] No confundas un sitio lento con malware. A veces es solo un plugin pesado. Pero si ves comportamientos extraños (redirecciones, archivos nuevos que no creaste, alertas de Google), es momento de investigar.

Paso 1: Revisa el panel de Plesk en busca de señales de alerta

Plesk tiene herramientas integradas que te ayudan a detectar virus hosting de forma proactiva. No necesitas instalar nada adicional.

1.1. Activa el Escáner de Seguridad de Plesk (Plesk Security Scanner)

Plesk incluye un escáner básico que revisa vulnerabilidades comunes. Para usarlo:

1. Inicia sesión en tu panel de Plesk (normalmente en https://tudominio.com:8443).
2. Ve a Herramientas y Configuración (en la barra lateral izquierda).
3. Busca la sección Seguridad y haz clic en Escáner de Seguridad.
4. Haz clic en el botón Ejecutar escaneo.

Este escáner revisa:

• Archivos modificados recientemente.
• Permisos incorrectos.
• Scripts sospechosos.
• Versiones de software desactualizadas.

Si encuentra algo, te dará una alerta con la ruta exacta del archivo. Anota esa ruta para investigarla después.

[TIP] Programa este escaneo semanalmente. Ve a Herramientas y Configuración > Programador de Tareas y añade una tarea que ejecute el escáner cada domingo a las 3:00 AM.

1.2. Revisa los logs de acceso y errores

Los logs son el diario de todo lo que pasa en tu servidor. Si hay malware Plesk, suele dejar huellas aquí.

1. En Plesk, ve a Sitios web y dominios.
2. Selecciona tu dominio problemático.
3. Haz clic en Logs (en la sección de estadísticas).
4. Busca patrones extraños como:
   • Solicitudes a archivos .php que no deberían existir (por ejemplo, wp-login.php si no usas WordPress).
   • Muchos accesos a la misma URL en poco tiempo (posible ataque de fuerza bruta).
   • Errores 404 de archivos sospechosos (como shell.php o eval.php).

Si ves algo así, probablemente tienes un archivo malicioso.

Paso 2: Usa herramientas externas para un análisis más profundo

A veces el escáner de Plesk no es suficiente. Para detectar virus hosting más complejos, te recomiendo estas herramientas gratuitas.

2.1. Escanea con ClamAV (antivirus gratuito)

ClamAV es un antivirus de código abierto que puedes instalar en tu servidor (si tu plan de hosting lo permite) o usar desde la línea de comandos.

Si tienes acceso SSH:

1. Conéctate a tu servidor por SSH.
2. Actualiza la base de datos de virus: freshclam
3. Escanea todo el directorio de tu sitio: clamscan -r /var/www/vhosts/tudominio.com/
4. Espera el resultado. Te mostrará los archivos infectados.

Si no tienes SSH: Pide a tu proveedor de hosting que ejecute un escaneo con ClamAV en tu cuenta.

[WARNING] No ejecutes clamscan en todo el sistema (/) sin supervisión, porque puede consumir muchos recursos. Limítate a la carpeta de tu sitio.

2.2. Revisa archivos con herramientas online (como VirusTotal)

Si encuentras un archivo sospechoso (por ejemplo, cgi-bin/backdoor.php), súbelo a VirusTotal (virustotal.com) sin necesidad de registro. Allí lo escanearán con más de 60 motores antivirus.

• Solo sube archivos que estés seguro de que son tuyos o que no contengan datos sensibles.
• Si el resultado es positivo, ese archivo es malware Plesk y debes eliminarlo.

Paso 3: Inspecciona manualmente los archivos de tu sitio

A veces el malware se esconde en lugares que los escáneres automáticos pasan por alto. Aquí te enseño a buscar a mano.

3.1. Revisa archivos .htaccess

El archivo .htaccess es un punto común de infección. Los atacantes añaden reglas de redirección maliciosas.

1. En Plesk, ve a Sitios web y dominios > tu dominio > Administrador de archivos.
2. Busca el archivo .htaccess (puede estar oculto; en Plesk, activa "Mostrar archivos ocultos").
3. Ábrelo y busca líneas como:
   • RewriteRule que redirijan a sitios extraños (por ejemplo, http://malware-site.com).
   • Redirect a URLs que no reconoces.
   • Código PHP o JavaScript incrustado.

Si ves algo así, elimina esa línea o restaura un .htaccess limpio de una copia de seguridad.

3.2. Busca archivos con nombres sospechosos

Los atacantes suelen nombrar sus archivos de manera que pasen desapercibidos. Revisa estas carpetas:

• /wp-content/uploads/ (en WordPress)
• /cgi-bin/
• /tmp/
• /var/tmp/

Busca archivos con nombres como:

• system.php
• shell.php
• eval.php
• wp-config.php.bak (esto no debería estar en la raíz)
• Archivos con extensión .php dentro de carpetas de imágenes (como imagen.php dentro de /uploads/).

Si encuentras alguno, descárgalo y analízalo con VirusTotal o directamente elimínalo.

[INFO] Si no estás seguro de si un archivo es legítimo, compáralo con una copia limpia de tu sitio (de una copia de seguridad anterior). Si no tienes copia, asume que es malicioso si el nombre es raro.

Paso 4: Usa la línea de comandos (SSH) para una limpieza avanzada

Si te sientes cómodo con la terminal, estos comandos te ayudarán a detectar virus hosting rápidamente.

4.1. Busca archivos modificados en los últimos 7 días

find /var/www/vhosts/tudominio.com -type f -mtime -7 -name "*.php"

Esto lista todos los archivos PHP modificados en la última semana. Si ves archivos que no reconoces, investiga.

4.2. Busca archivos con permisos 777 (escritura para todos)

Los permisos 777 son un riesgo de seguridad. El malware suele crearlos.

find /var/www/vhosts/tudominio.com -perm 777 -type f

Si encuentras archivos con esos permisos, cámbialos a 644 (para archivos) o 755 (para carpetas) con chmod.

4.3. Busca cadenas de texto sospechosas en archivos PHP

grep -r "base64_decode" /var/www/vhosts/tudominio.com --include="*.php"

base64_decode se usa a menudo para ocultar código malicioso. Si aparece en archivos que no son de plugins conocidos, es una señal de alerta.

Paso 5: Mantén tu seguridad Plesk al día

Detectar el malware Plesk es solo la mitad del trabajo. La otra mitad es prevenir que vuelva a ocurrir.

5.1. Actualiza siempre Plesk y tus aplicaciones

• Ve a Herramientas y Configuración > Actualizaciones y actualizaciones de componentes.
• Instala todas las actualizaciones de seguridad.
• Mantén actualizados WordPress, Joomla, Drupal, etc.

5.2. Usa contraseñas fuertes

• Cambia la contraseña de administrador de Plesk cada 3 meses.
• Usa contraseñas de 12 caracteres con mayúsculas, minúsculas, números y símbolos.
• No uses la misma contraseña para Plesk que para tu correo o redes sociales.

5.3. Instala un firewall de aplicaciones web (WAF)

Plesk tiene un módulo llamado ModSecurity que actúa como firewall. Actívalo desde Herramientas y Configuración > Seguridad Web > ModSecurity. Elige la regla "OWASP CRS" (conjunto de reglas básico).

5.4. Haz copias de seguridad periódicas

• Ve a Herramientas y Configuración > Copia de seguridad.
• Programa copias diarias o semanales.
• Guarda las copias en un lugar externo (no en el mismo servidor).

[WARNING] Si tienes un ataque de malware, restaura desde una copia de seguridad anterior a la infección. Asegúrate de que la copia esté limpia.

Preguntas frecuentes (FAQ) sobre detección de malware en Plesk

¿Puedo usar Syspanel (HestiaCP) para lo mismo?

Si en algún momento usas Syspanel (el antiguo HestiaCP, que se accede por el puerto 2106), los pasos son similares: revisa los logs en /var/log/ y usa ClamAV desde SSH. Pero este artículo está enfocado en Plesk, que es más común en hosting compartido.

¿Qué hago si encuentro malware pero no puedo eliminarlo?

1. No lo borres aún. Haz una copia del archivo infectado (por si necesitas investigar).
2. Contacta a tu proveedor de hosting. Muchos tienen servicios de limpieza gratuitos.
3. Si tienes acceso, restaura desde una copia de seguridad limpia.

¿El escáner de Plesk es suficiente?

No siempre. El escáner integrado es bueno para vulnerabilidades conocidas, pero el malware más nuevo puede pasarlo. Por eso te recomiendo usar ClamAV y la inspección manual.

¿Cómo sé si mi sitio fue atacado?

Señales comunes:

• Google dice que tu sitio no es seguro (aparece una advertencia roja).
• Tus visitantes se quejan de redirecciones a sitios raros.
• Tu web se vuelve muy lenta.
• Aparecen archivos nuevos que no creaste.
• Recibes correos de tu proveedor de hosting sobre actividad sospechosa.

Resumen final

Detectar malware Plesk no es difícil si sigues estos pasos:

1. Usa el escáner de seguridad integrado de Plesk.
2. Revisa los logs en busca de patrones extraños.
3. Emplea ClamAV para un análisis profundo.
4. Inspecciona archivos manualmente (.htaccess, nombres sospechosos).
5. Mantén todo actualizado y haz copias de seguridad.

Con estos consejos, podrás detectar virus hosting y mantener tu seguridad Plesk en óptimas condiciones. Si tienes dudas, recuerda que siempre puedes contactar a tu proveedor de hosting o a un especialista en ciberseguridad.

[TIP] La prevención es la mejor defensa. Dedica 10 minutos cada semana a revisar tu panel Plesk y ejecutar un escaneo. ¡Tu sitio web te lo agradecerá!

Espero que este artículo te haya sido de gran ayuda. ¡Ahora ve y revisa tu servidor con confianza!