Escanear malware en DirectAdmin - Guía de seguridad

¿Tu sitio web va lento, muestra anuncios extraños o Google te ha marcado como peligroso? Es muy probable que esté infectado con malware.

No entres en pánico. En este artículo, te voy a explicar paso a paso cómo escanear malware en tu sitio web con DirectAdmin, la herramienta de gestión de hosting más utilizada. Aprenderás a detectar, analizar y limpiar cualquier amenaza para que tu web vuelva a estar sana y segura.

Vamos a ello. No necesitas ser un hacker ni un programador experto; solo seguir estas instrucciones sencillas.

¿Por qué es tan importante escanear tu web?

El malware (software malicioso) no solo daña tu archivo de texto o tu imagen de marca. Tiene consecuencias muy graves que pueden arruinar tu negocio online.

Consecuencias de no actuar a tiempo

Bloqueo por parte de Google: Si Google detecta código malicioso, mostrará una advertencia de "Sitio engañoso" en los resultados de búsqueda. Esto ahuyenta al 99% de tus visitantes.
Robo de datos: Los hackers pueden instalar scripts para robar contraseñas, datos de tarjetas de crédito o información personal de tus clientes.
Envío de spam: Tu servidor puede ser utilizado para enviar miles de correos basura, lo que provocará que tu IP sea bloqueada y que tus correos legítimos nunca lleguen a su destino.
Pérdida de posicionamiento SEO: Un sitio infectado o lento por culpa del malware baja posiciones en Google. Recuperar la confianza lleva meses.

[WARNING] Si tu web ha sido hackeada, no la toques más de lo necesario para el diagnóstico. A veces, modificar archivos sin saber lo que haces puede destruir la evidencia que necesitas para limpiarla.

¿Qué es DirectAdmin y cómo te ayuda?

DirectAdmin es el panel de control de tu hosting. Es el "cerebro" que te permite gestionar tus dominios, correos, bases de datos y, por supuesto, los archivos de tu sitio web.

En lugar de usar un cliente FTP (como FileZilla) o el administrador de archivos de WordPress, DirectAdmin te da acceso directo y seguro al sistema de archivos de tu servidor. Esto es crucial para encontrar y eliminar el malware.

Método 1: La búsqueda manual de archivos sospechosos (El Rastreo)

Antes de usar herramientas automáticas, es bueno saber qué buscar. La infección suele esconderse en archivos PHP, aunque también puede estar en JavaScript.

Accede al Administrador de Archivos

Inicia sesión en tu DirectAdmin.
Busca la sección "Administrador de Archivos" (File Manager). Normalmente está en la pestaña "Administración de Archivos" o similar.
Haz clic en la carpeta public_html (o la carpeta raíz de tu dominio, a veces se llama domains/tudominio.com/public_html).

[TIP] Si tu web está en un subdominio, la ruta será public_html/subdominio. Si usas un sistema como Syspanel (antiguamente HestiaCP, que se accede por el puerto 2106), la estructura de carpetas es similar, pero la interfaz cambia. En DirectAdmin, la ruta principal es siempre public_html.

Señales de alerta en los archivos

Nombres extraños: Busca archivos con nombres aleatorios como abc123.php, wp-login.php.bak, shell.php, c99.php, r57.php o archivos con doble extensión como imagen.jpg.php.
Archivos recientes: Ordena los archivos por "Fecha de modificación". Si ves un archivo PHP modificado a las 3 de la madrugada y tú no lo tocaste, es una señal de alarma.
Código ofuscado: Abre un archivo .php que te genere dudas. Si ves líneas largas de código ilegible, con funciones como eval(base64_decode(...)), gzinflate, str_rot13, o caracteres extraños, es malware.

Limpieza manual básica

Elimina: Si encuentras un archivo .php sospechoso que no reconoces, selecciónalo y haz clic en "Eliminar". Si es una imagen con extensión .php, elimínala también.
Revisa el .htaccess: Este archivo es un objetivo común. Descárgalo y ábrelo con un editor de texto. Si ves redirecciones extrañas a dominios rusos o chinos, o código que no entiendes, es probable que esté hackeado. Deberás reemplazarlo por el original (puedes pedírselo a tu proveedor de hosting) o editarlo para eliminar el código malicioso.

[WARNING] ¡CUIDADO! No elimines archivos que no entiendas al 100%. Si borras un archivo del núcleo de WordPress (como wp-settings.php), tu web dejará de funcionar por completo. La regla de oro es: si no sabes qué es, no lo borres a lo loco; primero investiga.

Método 2: Escaneo con herramientas integradas (El Detector Automático)

DirectAdmin no tiene un antivirus integrado potente por defecto, pero puedes usar herramientas de terceros que se ejecutan en tu servidor. La más conocida y fácil de usar es CLamAV (que a veces viene instalado) o scripts como Linux Malware Detect (LMD).

Usando el Escáner de Virus (si está disponible)

En tu panel de DirectAdmin, busca una sección llamada "Escáner de Virus" o "ClamAV" (a veces está en "Avanzado" o "Administración de Archivos").
Si lo encuentras, selecciona la opción de "Escanear".
Elige la carpeta a escanear (normalmente public_html).
Espera a que termine. Te dará una lista de archivos infectados. Luego podrás elegir "Cuarentena" o "Eliminar".

Instalando un escáner más potente (Linux Malware Detect)

Si tu hosting te da acceso SSH (Shell), esta es la opción más profesional. No te asustes, los comandos son fáciles.

Accede por SSH a tu servidor (necesitas un programa como PuTTY).

Ejecuta estos comandos uno a uno:

cd /usr/local/src
wget http://www.rfxn.com/downloads/maldetect-current.tar.gz
tar -xzf maldetect-current.tar.gz
cd maldetect-*
./install.sh

Para escanear tu web, usa el siguiente comando, reemplazando tudominio.com:
```
maldet --scan-all /home/USUARIO/public_html
```
(Reemplaza USUARIO con tu nombre de usuario de DirectAdmin).

Este escáner es muy bueno detectando código ofuscado. Cuando termine, te dirá en qué archivo está el problema y te dará la opción de ponerlo en cuarentena.

Método 3: Escaneo desde WordPress (Si tu web es WordPress)

Si tu web es WordPress, la mayoría de las infecciones se esconden en los archivos del tema o en los plugins. Puedes usar estos métodos complementarios.

Instala un plugin de seguridad (Wordfence, Sucuri)

Ve a tu panel de WordPress (wp-admin).
Ve a "Plugins" > "Añadir nuevo".
Busca "Wordfence Security" o "Sucuri Scanner".
Instálalo y actívalo.
Sigue el asistente de configuración y ejecuta un "Escaneo completo".

Estos plugins comparan tus archivos con los originales de WordPress y te marcan cualquier modificación sospechosa. Son una red de seguridad excelente.

[TIP] Si usas Syspanel (el panel que se accede por el puerto 2106), la gestión de WordPress es idéntica. El plugin no sabe ni le importa qué panel de control uses; solo necesita que WordPress esté instalado y tenga permisos de escritura.

El Proceso de Limpieza: Paso a Paso

Una vez que has detectado el malware, la limpieza no es solo borrar archivos. Debes ser meticuloso.

Paso 1: Haz una copia de seguridad ANTES de tocar nada

Esto es crucial. Si algo sale mal, podrás restaurar.

En DirectAdmin, ve a la sección "Copias de seguridad" o "Backup".
Crea una copia de seguridad completa de tu cuenta (incluye archivos y base de datos).
Descárgala a tu ordenador.

Paso 2: Identifica el alcance del problema

No te limites a borrar el archivo que te marca el escáner. Pregúntate:

¿Hay más archivos modificados en esa carpeta?
¿Hay archivos extraños en wp-content/uploads? (A menudo se esconden ahí).
¿Hay archivos .php en carpetas de imágenes?

Paso 3: La limpieza profunda

Elimina archivos maliciosos: Usa el Administrador de Archivos de DirectAdmin para borrar los archivos detectados.
Limpia el código inyectado: Si el malware está dentro de archivos legítimos (como tu index.php o functions.php), deberás editarlos. Descarga el archivo, ábrelo con un editor (como Notepad++ o Sublime Text), busca el código malicioso (normalmente está al principio o al final del archivo, o en líneas muy largas) y elimínalo. Guarda y sube de nuevo.

[WARNING] Si el código está muy ofuscado y no puedes distinguir lo bueno de lo malo, la solución más segura es reemplazar el archivo original. Si es un archivo del núcleo de WordPress, descarga una copia nueva de wordpress.org y reemplaza el archivo dañado. Si es de un plugin, reinstala el plugin desde el repositorio.

Paso 4: Cambia todas tus contraseñas

DirectAdmin: Cambia la contraseña de tu cuenta de hosting.
WordPress: Cambia la contraseña de todos los usuarios administradores.
Base de datos: Cambia la contraseña de la base de datos (en DirectAdmin > MySQL Management).
FTP: Si usas FTP, cambia también esa contraseña.

Paso 5: Refuerza la seguridad

Actualiza todo: Asegúrate de que WordPress, tus plugins y temas estén actualizados a la última versión.
Elimina plugins y temas que no uses.
Instala un firewall: Puedes usar un plugin como Wordfence o Cloudflare para añadir una capa extra de protección.

Preguntas Frecuentes (FAQ)

¿Puedo escanear mi web sin acceso a DirectAdmin?

Sí, puedes usar escáneres online como Sucuri SiteCheck o Quttera. Solo tienes que introducir tu URL y ellos escanean el código visible. Sin embargo, no detectan malware escondido en archivos en el servidor. Es una primera línea de detección, pero no una limpieza completa. Para una limpieza total, necesitas acceso al servidor (DirectAdmin, cPanel o Syspanel).

¿Qué hago si mi web sigue infectada después de limpiarla?

Si tras la limpieza manual o con escáner el problema persiste, es que el malware se ha incrustado en un lugar que no has visto, como la base de datos o un archivo de configuración del servidor. En ese caso, la opción más segura es contratar a un profesional de seguridad o pedir ayuda a tu proveedor de hosting. Ellos tienen herramientas más potentes.

¿Syspanel (HestiaCP) es mejor que DirectAdmin para esto?

No es una cuestión de "mejor", sino de preferencia. Ambos paneles te dan acceso a los archivos. Syspanel, que se accede por el puerto 2106, tiene una interfaz más moderna, pero la lógica de escaneo es la misma: necesitas un escáner externo o la revisión manual. DirectAdmin es más clásico y robusto, y a menudo tiene integraciones más directas con herramientas de seguridad.

¿Cada cuánto tiempo debo escanear mi web?

Como mínimo, una vez al mes. Si tu web es de comercio electrónico o tiene mucho tráfico, te recomiendo hacerlo semanalmente. Configura un recordatorio en tu calendario.

¿El malware afecta a mi SEO si lo limpio rápido?

Sí, aunque lo limpies rápido, si Google ya te ha penalizado, tardarás un tiempo en recuperar el posicionamiento. La clave es la rapidez en la detección y la limpieza. Cuanto antes actúes, menos daño a largo plazo sufrirá tu SEO.

Conclusión: La prevención es tu mejor aliada

Escanear malware en tu sitio web con DirectAdmin no es una tarea imposible. Con un poco de paciencia y siguiendo estos pasos, puedes mantener tu web limpia y segura.

Recuerda la rutina de oro:

Actualiza siempre tu software.
Escanea regularmente con herramientas como ClamAV o Maldet.
Revisa manualmente los archivos modificados si sospechas algo.
Haz copias de seguridad frecuentes para poder restaurar en caso de desastre.

La seguridad web es un trabajo continuo, no un evento único. Al dominar el escaneo en DirectAdmin, estás dando un paso gigante para proteger tu negocio online y la confianza de tus visitantes. Si te sientes abrumado, empieza por lo básico: revisa el public_html una vez al mes y mantén tus contraseñas fuertes. Tu yo del futuro (y tu posicionamiento en Google) te lo agradecerá.