Eliminar Malware en DirectAdmin | Guía de Limpieza

Primeros Síntomas: ¿Cómo Saber si tu Web está Infectada?

Antes de ponernos manos a la obra, es fundamental saber reconocer las señales de que tu sitio web ha sido comprometido. No siempre es un aviso de Google lo que te alerta; a veces, los síntomas son más sutiles. Presta atención a estos indicadores comunes:

Avisos de Google Safe Browsing: Si al buscar tu dominio en Google aparece un mensaje como "El sitio puede haber sido pirateado" o "Sitio engañoso", es una señal inequívoca de infección.
Redirecciones extrañas: Al hacer clic en tu propio sitio, eres redirigido a páginas de publicidad, casinos online, farmacias ilegales o páginas de error desconocidas. Esto es un clásico de malware.
Pérdida de posicionamiento SEO: Si tu página cae en picada en los resultados de búsqueda sin una razón aparente (cambios de algoritmo, actualizaciones de contenido), el malware puede estar inyectando enlaces ocultos que penalizan tu dominio.
Ventanas emergentes (Pop-ups) invasivas: Aparecen anuncios incluso cuando el usuario está en tu web, pero no tienen nada que ver con tu contenido.
Código extraño en el código fuente: Si revisas el HTML de tu web (botón derecho > "Ver código fuente") y encuentras scripts de aspecto sospechoso, iframes ocultos o código base64 incrustado, tienes un problema.
Rendimiento lento y caídas: El malware consume recursos del servidor. Si tu web va lenta o da errores 500 constantemente, puede ser por una carga de scripts maliciosos.

Fase 1: Preparación y Backup de Seguridad (Lo Más Importante)

[WARNING] No intentes limpiar el malware sin hacer una copia de seguridad completa antes. Si algo sale mal durante la limpieza, podrías perder datos de la base de datos o archivos importantes. La copia de seguridad es tu red de seguridad.

Antes de tocar nada, necesitas tener una copia de seguridad de todo tu sitio. DirectAdmin facilita este proceso. Sigue estos pasos:

Accede a DirectAdmin: Entra con tus credenciales (normalmente tu usuario y contraseña de hosting).
Busca la sección "Administrador de Copias de Seguridad" (o "Backup"): En el panel principal, busca un icono que diga "Copias de Seguridad" o "Backup".
Crea una copia de seguridad completa: Selecciona la opción de crear una copia de seguridad que incluya tanto los archivos de tu dominio (la carpeta public_html) como las bases de datos MySQL. Elige la opción para descargarla a tu ordenador o guardarla en una ubicación remota.
Descarga y verifica: Una vez creada, descarga el archivo .tar.gz o .zip a tu equipo local. Asegúrate de que el archivo no esté corrupto (puedes abrirlo para verificar que contiene carpetas y archivos).

[TIP] Si tu hosting tiene la opción de "Backup Remoto" (a un FTP, Dropbox, etc.), úsala. Es más seguro que almacenar la copia en el mismo servidor, ya que el malware podría infectar también los backups locales.

Fase 2: Identificación del Malware (El Rastreo)

Ahora que tienes tu red de seguridad, toca ponerse el traje de detective. El objetivo es encontrar los archivos infectados. No es una tarea de minutos, pero con las herramientas adecuadas, puedes lograrlo.

### 2.1. Herramientas de Escaneo Automático

Existen herramientas que escanean tu sitio en busca de firmas de malware conocidas. Muchas de ellas están integradas en el propio panel de control o en servicios externos.

Escáneres Integrados en DirectAdmin: Algunos plugins o versiones de DirectAdmin incluyen un escáner de malware básico. Busca en el panel una sección llamada "Escáner de Virus" o "Malware Scanner". Si no lo tienes, no te preocupes, pasamos a las alternativas.
Herramientas Externas (Online): Servicios como VirusTotal (analiza archivos individuales), Sucuri SiteCheck, o Quttera ofrecen escaneos gratuitos en línea. Solo tienes que introducir tu dominio y te dirán si hay algún problema visible. Son útiles para una primera impresión, pero no siempre detectan todo el malware incrustado.
Escáneres de Archivos (Software): Si tienes acceso a la línea de comandos (SSH) o a un administrador de archivos avanzado, puedes usar herramientas como ClamAV (si tu proveedor lo tiene instalado) o LMD (Linux Malware Detect). Estos son más exhaustivos y pueden escanear todos los archivos de tu hosting.

### 2.2. Rastreo Manual (El Método Artesanal)

Si el escáner automático no encuentra nada o quieres asegurarte, el rastreo manual es la opción más fiable. No es tan difícil como parece.

Accede al Administrador de Archivos de DirectAdmin: En el panel, busca la sección "Administrador de Archivos" (o "File Manager").
Ve a la carpeta public_html: Esta es la raíz de tu sitio web. Es donde se encuentran los archivos principales (WordPress, Joomla, etc.).
Busca archivos recientemente modificados: Ordena los archivos por "Fecha de modificación". Presta especial atención a los archivos que hayan sido modificados en las últimas horas o días, especialmente si no has tocado nada. Un archivo .php modificado a las 3 de la mañana es altamente sospechoso.
Busca archivos con nombres extraños: Los atacantes suelen crear archivos con nombres que imitan a los legítimos pero con ligeras variaciones, como wp-login1.php, index.php.bak, adminer.php, o archivos con códigos aleatorios como a3f8d.php. Presta atención a cualquier archivo que no reconozcas.
Revisa el código de los archivos sospechosos: Haz clic derecho sobre el archivo sospechoso y selecciona "Editar" o "Ver". Busca patrones de código malicioso:
- Código base64: Cadenas largas de caracteres aleatorios que parecen eval(base64_decode("...")). Esto es un clásico.
- Funciones de ejecución de comandos: exec(), system(), shell_exec(), passthru(). Estas funciones permiten ejecutar comandos en el servidor y son muy utilizadas por los atacantes.
- Iframes ocultos: Etiquetas <iframe> con URLs extrañas (a menudo de sitios de spam o pornografía).
- Enlaces ocultos: Enlaces con estilo display:none o visibility:hidden que apuntan a sitios externos.
- Scripts de ofuscación: Código JavaScript muy compactado y difícil de leer, que suele ser la puerta de entrada a más malware.

[INFO] No borres archivos a lo loco. Si un archivo es legítimo pero está infectado, es mejor limpiarlo (reemplazar el código malicioso por el original) que eliminarlo. Si eliminas el archivo index.php de tu web, la página dejará de cargar por completo.

Fase 3: Limpieza Profunda (Eliminar el Malware)

Una vez identificados los archivos infectados, es hora de la limpieza. Hay dos enfoques principales: la limpieza quirúrgica y la restauración completa.

### 3.1. Limpieza Quirúrgica (Archivos Individuales)

Este método es para cuando el malware está en archivos concretos y no ha corrompido el núcleo de tu CMS (WordPress, etc.).

Descarga el archivo infectado: Usa el Administrador de Archivos para descargar el archivo sospechoso a tu ordenador.
Limpia el código: Abre el archivo con un editor de texto avanzado (como Notepad++ o Sublime Text) y elimina las líneas de código malicioso que identificaste. Si es un archivo de WordPress, puedes compararlo con la versión original del repositorio oficial de WordPress para ver exactamente qué se añadió.
Sube el archivo limpio: Reemplaza el archivo en el servidor con la versión limpia.
Repite el proceso: Haz esto con todos los archivos infectados que hayas encontrado.

[WARNING] Este método es tedioso y no siempre es 100% efectivo. El malware puede haber dejado puertas traseras (backdoors) en archivos que no has revisado. Si no estás seguro de haber eliminado todo, es mejor optar por la restauración completa.

### 3.2. Restauración desde una Copia de Seguridad Limpia

Este es el método más seguro y recomendado si la infección es masiva o si no sabes exactamente qué archivos están afectados.

Elimina todos los archivos de public_html: Esto es un paso drástico, pero necesario. Puedes hacerlo desde el Administrador de Archivos de DirectAdmin (selecciona todo y elimina) o mediante FTP.
Sube tu copia de seguridad limpia: Descomprime el archivo de backup que realizaste en la Fase 1 y sube su contenido a la carpeta public_html (o donde corresponda). Puedes usar el Administrador de Archivos o un cliente FTP como FileZilla.
Restaura la base de datos: Si tu backup incluía la base de datos, tendrás que restaurarla. En DirectAdmin, busca la sección "Administrador de Bases de Datos MySQL". Importa el archivo .sql que descargaste en tu backup.
Cambia todas las contraseñas: Después de restaurar, es obligatorio cambiar las contraseñas de:
- Tu cuenta de DirectAdmin.
- Tu base de datos MySQL.
- Tu cuenta FTP.
- El panel de administración de tu CMS (WordPress, etc.).

[TIP] Si no tienes una copia de seguridad limpia, puedes descargar una copia fresca de WordPress desde wordpress.org y reemplazar todos los archivos del núcleo, pero tendrás que volver a instalar los plugins y temas manualmente, ya que podrían estar infectados.

Fase 4: Seguridad DirectAdmin (Prevención Post-Limpieza)

Has limpiado tu sitio, pero el trabajo no termina aquí. Ahora debes asegurarte de que el atacante no pueda volver a entrar. La seguridad DirectAdmin es tu siguiente prioridad.

### 4.1. Cambio de Contraseñas y Permisos

Contraseñas Fuertes: Usa contraseñas largas y complejas (mayúsculas, minúsculas, números y símbolos) para DirectAdmin, FTP y bases de datos. No uses la misma contraseña para todo.
Permisos de Archivos: Asegúrate de que los archivos tengan permisos correctos. En general, los archivos deben tener permiso 644 y las carpetas 755. No uses permisos 777 (lectura, escritura y ejecución para todos), ya que cualquiera podría modificarlos.

### 4.2. Herramientas de Seguridad en DirectAdmin

Protección de Directorios: DirectAdmin te permite proteger directorios específicos con contraseña. Útil para carpetas de administración.
Gestor de Firewall: Algunos paneles incluyen un firewall básico (CSF - ConfigServer Security & Firewall). Asegúrate de que esté activo y configurado correctamente.
SSL/TLS: Asegúrate de que tu sitio tenga un certificado SSL activo (HTTPS). Esto cifra la comunicación y dificulta la intercepción de datos.

### 4.3. Mantener tu CMS Actualizado

El 90% de las infecciones de malware se deben a software desactualizado. Esto incluye:

Núcleo de WordPress (o tu CMS): Mantén siempre la última versión.
Plugins y Extensiones: Elimina los plugins que no uses y actualiza los que sí uses. Los plugins obsoletos son la principal puerta de entrada.
Temas: Al igual que los plugins, los temas deben estar actualizados. Si usas un tema pirata o nulled, es muy probable que ya contenga malware.

Fase 5: Limpieza de la Base de Datos (MySQL)

El malware no solo se esconde en los archivos, también puede estar en tu base de datos. Es común que se inyecten enlaces spam o scripts en las tablas de contenido (posts, páginas) o en los ajustes del sitio.

Accede a phpMyAdmin: En DirectAdmin, busca la sección "MySQL Management" y haz clic en "phpMyAdmin".
Selecciona tu base de datos: En el panel izquierdo, elige la base de datos de tu sitio.
Busca tablas sospechosas: Revisa las tablas de opciones (por ejemplo, wp_options en WordPress) y las tablas de contenido. Busca valores con URLs extrañas o código base64.
Ejecuta consultas SQL para limpiar: Puedes usar la pestaña "SQL" para ejecutar consultas que eliminen los enlaces maliciosos. Por ejemplo, para buscar enlaces a un sitio malicioso en WordPress, podrías ejecutar algo como:
SELECT * FROM wp_posts WHERE post_content LIKE '%sitiomalicioso.com%';
Esto te mostrará los registros afectados. Luego podrás actualizarlos o eliminarlos.

[WARNING] Manipular la base de datos directamente es peligroso. Si no sabes lo que estás haciendo, es mejor que busques ayuda profesional o uses un plugin de seguridad que limpie la base de datos automáticamente.

Fase 6: Herramientas Adicionales y Plugins de Seguridad

Para facilitar la limpieza y la prevención, existen herramientas específicas que puedes instalar en tu CMS.

Para WordPress (el más común):
- Wordfence: Un plugin de seguridad completo con firewall, escáner de malware y bloqueo de IPs.
- Sucuri Security: Otra excelente opción con escáner y firewall en la nube.
- iThemes Security: Ofrece múltiples capas de seguridad, como autenticación de dos factores y protección contra fuerza bruta.
Para Joomla:
- RSFirewall!: Un plugin de seguridad muy popular para Joomla.
Para PrestaShop:
- PrestaShop Security: Módulo oficial de seguridad.

Estos plugins no solo te ayudarán a limpiar el malware existente, sino que también añadirán una capa de protección en tiempo real para futuros ataques.

Preguntas Frecuentes (FAQ)

¿Cuánto tarda en limpiar un sitio web infectado?

Depende de la gravedad de la infección. Una limpieza quirúrgica de unos pocos archivos puede llevar una hora. Una restauración completa desde un backup puede llevar de 2 a 4 horas, incluyendo el cambio de contraseñas y la configuración de seguridad.

¿Qué hago si mi sitio sigue infectado después de la limpieza?

Si después de seguir todos los pasos el malware persiste, es muy probable que haya una puerta trasera (backdoor) que no has encontrado. En este caso, deberías contactar con tu proveedor de hosting y pedirles ayuda. Ellos tienen herramientas más avanzadas y pueden purgar el servidor a un nivel más profundo.

¿Cómo afecta el malware al SEO de mi web?

El malware puede dañar gravemente tu SEO. Google puede marcar tu sitio como peligroso, lo que hará que desaparezca de los resultados de búsqueda. Además, los enlaces spam inyectados pueden hacer que Google te penalice. Una vez limpio, tendrás que solicitar una revisión a Google Search Console para que te quite la marca de sitio peligroso.

¿Qué es una puerta trasera (backdoor)?

Es un archivo malicioso que permite al atacante volver a entrar en tu servidor incluso después de que hayas limpiado el sitio. Suelen ser archivos pequeños y difíciles de detectar, a menudo con nombres que imitan a los de WordPress o con extensiones engañosas.

¿Puedo prevenir futuros ataques de malware?

Sí, siguiendo las prácticas de seguridad mencionadas: mantener todo actualizado, usar contraseñas fuertes, instalar plugins de seguridad, hacer backups periódicos