Escanear malware en WordPress con cPanel | Detección y limpieza

¿Tu WordPress va lento, muestra mensajes extraños o directamente ha sido hackeado? Respira. Es un problema más común de lo que crees, y lo mejor es que puedes empezar a resolverlo tú mismo desde el panel de control de tu hosting: cPanel. En esta guía extensa y práctica, te voy a enseñar, paso a paso y sin tecnicismos, cómo escanear malware en WordPress con cPanel, qué herramientas usar y cómo interpretar los resultados para limpiar tu sitio y blindarlo.

Olvídate de pagar servicios caros de inmediato. Con las herramientas nativas de cPanel y un poco de paciencia, podrás diagnosticar y, en muchos casos, eliminar la amenaza por completo. Vamos a ello.

¿Por qué es importante escanear tu WordPress?

WordPress alimenta más del 40% de la web, lo que lo convierte en un objetivo gigantesco para los ciberdelincuentes. No es que sea inseguro por defecto, sino que su popularidad y la gran cantidad de plugins y temas de terceros crean muchas puertas de entrada potenciales.

Un malware no solo roba datos de tus usuarios o de tu negocio, sino que también puede:

Incluir tu sitio en listas negras de Google, haciendo que desaparezca de los resultados de búsqueda.
Usar tu servidor para enviar correos basura (spam).
Redirigir a tus visitantes a páginas de phishing o descargas maliciosas.
Robar credenciales de administradores y clientes.

Por eso, escanear malware en WordPress con cPanel no es una opción, es una necesidad de mantenimiento básico, igual que actualizar los plugins. Y la buena noticia es que no necesitas ser un experto en seguridad para hacerlo.

Antes de empezar: Prepara tu cPanel

Para realizar el escaneo de forma segura y eficaz, necesitas tener a mano tu información de acceso. Si no sabes cómo entrar, contacta con tu proveedor de hosting; normalmente te envían un correo con la URL de acceso (algo así como tudominio.com/cpanel) y tus credenciales.

Una vez dentro, verás un panel lleno de iconos. No te abrumes. Solo necesitamos algunas secciones concretas.

[WARNING] Haz una copia de seguridad ANTES de tocar nada

Este es el paso más importante de todos. Si durante la limpieza borras un archivo legítimo por error, podrías romper tu web. Una copia de seguridad te permite restaurar todo a un estado anterior.

En cPanel, busca la sección "Archivos" y haz clic en "Copias de seguridad" o "Backup". Tienes dos opciones:

Copia de seguridad completa: Descarga un archivo con todo tu sitio (archivos y base de datos). Es la más segura, pero puede tardar.
Copia parcial: Respaldar solo la carpeta public_html (donde está WordPress) o solo la base de datos.

Mi recomendación: Haz una copia completa y descárgala a tu ordenador. Así duermes tranquilo.

Método 1: Usa el Administrador de Archivos de cPanel (Análisis Manual)

Este método es ideal para encontrar malware "clásico" como inyecciones de código en archivos PHP. Es un poco más técnico, pero te dará un control total.

### Paso 1: Accede a tu carpeta raíz

En el panel de cPanel, busca la sección "Archivos" y haz clic en "Administrador de archivos". Se abrirá una nueva ventana. Busca la carpeta public_html (o htdocs en algunos servidores) y haz doble clic para entrar. Ahí es donde vive tu WordPress.

### Paso 2: Busca archivos sospechosos por fecha

Los hackers suelen inyectar malware en archivos que han sido modificados recientemente. Haz clic en la columna "Fecha de modificación" para ordenar los archivos por fecha. Revisa los archivos modificados en las últimas 24-48 horas, especialmente si no has hecho cambios tú.

¿Qué archivos son sospechosos?

Archivos .php con nombres extraños como wp-upload.php, cron.php, shell.php o tmp.php.
Archivos que no recuerdas haber creado.
Archivos en carpetas donde no deberían estar (por ejemplo, un .php dentro de /wp-content/uploads/).

### Paso 3: Inspecciona el código del archivo

Haz clic derecho sobre el archivo sospechoso y selecciona "Editar". Se abrirá un editor de texto. Busca código que no tenga sentido, como:

Líneas largas de texto codificado (base64).
Funciones de PHP peligrosas como eval(base64_decode(...)), system(), exec(), shell_exec().
Enlaces a dominios externos que no conoces.

Si encuentras algo así, ese es el malware. Puedes eliminarlo o, si estás seguro de que es un archivo basura, borrarlo por completo.

[INFO] No solo busques en la raíz

El malware suele esconderse en subcarpetas. Revisa especialmente wp-content/, wp-includes/ y wp-admin/. Busca archivos con permisos extraños (por ejemplo, permisos 777 que permiten que cualquiera los modifique).

Método 2: El Escáner de Virus de cPanel (Análisis Automático)

cPanel incluye una herramienta llamada "Virus Scanner" o "Escáner de virus" en la sección "Seguridad". Es un escáner de línea de comandos (ClamAV) que busca firmas de malware conocidas.

### Paso 1: Localiza el escáner

En tu panel de cPanel, desplázate hasta la sección "Seguridad" y haz clic en el icono "Virus Scanner" o "Escáner de virus".

### Paso 2: Configura y ejecuta

Verás una interfaz simple. Normalmente tienes la opción de:

Escaneo completo: Recorre todo tu public_html. Es el más lento pero el más exhaustivo.
Escaneo rápido: Solo revisa archivos críticos del sistema.

Te recomiendo que empieces con un escaneo completo mientras tomas un café. El tiempo dependerá del tamaño de tu sitio.

### Paso 3: Interpreta los resultados

Una vez finalizado, el escáner te mostrará una lista de archivos infectados. La opción más común es "Eliminar" o "Cuarentena".

Cuarentena: Mueve el archivo a una carpeta segura para que no pueda ejecutarse. Es la opción más segura porque te permite revisarlo manualmente después.
Eliminar: Borra el archivo por completo. Úsalo solo si estás 100% seguro de que es malware.

[WARNING] El escáner no es infalible

Esta herramienta detecta malware conocido. Si el hacker ha usado una técnica nueva o ha ofuscado el código de forma avanzada, el escáner podría no encontrarlo. Por eso es importante combinar este método con el manual (Método 1) y con el siguiente.

Método 3: Usa un Plugin de Seguridad (Análisis Profundo)

Si prefieres una interfaz más amigable y funciones automáticas, los plugins de seguridad para WordPress son tus mejores aliados. Son fáciles de instalar y ofrecen escaneos programados.

### Paso 1: Instala un plugin de confianza

Desde el escritorio de WordPress, ve a "Plugins" > "Añadir nuevo" y busca uno de estos populares y gratuitos:

Wordfence Security: Es el más completo. Incluye firewall, escaneo de malware y bloqueo de IPs.
Sucuri Security: Excelente para escaneo y monitorización, aunque las funciones más avanzadas son de pago.
iThemes Security: Bueno para reforzar la seguridad y hacer escaneos de archivos.

### Paso 2: Configura y ejecuta el escaneo

Una vez instalado y activado, cada plugin tiene su propio asistente de configuración. Busca la opción "Scan" o "Escaneo" y haz clic en "Iniciar escaneo".

Estos plugins van más allá de buscar firmas. Analizan el código, comparan los archivos con los originales de WordPress, revisan la base de datos en busca de inyecciones SQL y comprueban si tu sitio está en listas negras.

### Paso 3: Sigue las recomendaciones del plugin

Wordfence, por ejemplo, te dirá si un archivo es "Known malware" (malware conocido) o "Suspicious" (sospechoso). Te dará opciones como "Repair" (reparar) si es un archivo original de WordPress que ha sido modificado, o "Delete" (eliminar) si es basura.

¿Y si el malware persiste? Plan B

Si has hecho todo esto y el problema continúa, es hora de pasar a la acción manual más profunda.

### Revisa los archivos `wp-config.php` y `.htaccess`

Estos son los archivos más críticos de WordPress.

Ve al Administrador de Archivos de cPanel.
Abre wp-config.php y busca líneas que definan constantes extrañas o código PHP que no esté relacionado con la configuración de la base de datos.
Abre el archivo .htaccess (está oculto, activa "Mostrar archivos ocultos" en la esquina superior derecha del Administrador de Archivos). Busca reglas de redirección a dominios raros o código PHP al principio o al final del archivo.

### Verifica los usuarios de la base de datos

A veces el malware crea un usuario administrador oculto. Ve a "phpMyAdmin" dentro de cPanel, selecciona tu base de datos de WordPress, haz clic en la tabla wp_users y revisa que solo existan los usuarios que tú conoces. Si ves uno extraño, puedes eliminarlo desde ahí.

### Restaura desde una copia de seguridad limpia

Si nada funciona, tu última bala es restaurar tu sitio desde una copia de seguridad anterior a la infección. Si no tienes una, contacta a tu proveedor de hosting; a menudo guardan copias de seguridad de los últimos días.

Preguntas Frecuentes (FAQ) sobre escanear malware en WordPress

¿Con qué frecuencia debo escanear mi WordPress?
Idealmente, una vez por semana. Si actualizas plugins o temas con mucha frecuencia, hazlo después de cada actualización. Programar un escaneo automático con un plugin como Wordfence es la mejor opción.

¿El escaneo de cPanel ralentiza mi sitio web?
Sí, durante el escaneo consume recursos del servidor. Por eso, es mejor hacerlo en horas de bajo tráfico (por la noche o madrugada).

¿Qué hago si encuentro malware pero no sé cómo limpiarlo?
No te arriesgues. Si no estás seguro de lo que estás haciendo, puedes empeorar las cosas. Busca ayuda profesional o contacta a tu proveedor de hosting. Muchos ofrecen servicios de limpieza de malware de pago.

¿Puedo prevenir el malware en el futuro?
Sí, en gran medida. Mantén WordPress, tus plugins y temas siempre actualizados. Usa contraseñas fuertes y cambia el prefijo de la base de datos. Instala un plugin de seguridad y haz copias de seguridad periódicas. Y, sobre todo, desconfía de plugins y temas piratas, son la principal fuente de infección.

¿El escáner de cPanel elimina el malware automáticamente?
No siempre. A veces solo lo detecta y te da la opción de ponerlo en cuarentena o eliminarlo manualmente. Depende de la configuración de tu hosting.

Conclusión: La seguridad es un hábito

Escanear malware en WordPress con cPanel es un proceso que, una vez que le coges el truco, te llevará minutos. No es una ciencia mágica, sino un hábito de higiene digital. Combina la revisión manual con las herramientas automáticas de cPanel y los plugins de seguridad, y tendrás un sitio mucho más robusto.

Recuerda la regla de oro: copia de seguridad antes de tocar nada. Y si en algún momento te sientes superado, no dudes en pedir ayuda a tu proveedor de hosting o a un profesional. La seguridad de tu web y la de tus visitantes merece la pena.

Ahora que ya sabes cómo hacerlo, te animo a que hagas un primer escaneo hoy mismo. Te sorprenderá lo que puedes encontrar.