Escanear malware en WordPress con herramientas gratuitas

¿Tu sitio WordPress va lento, muestra contenido extraño o redirige a páginas sospechosas? Es posible que haya sido infectado con malware. No te preocupes, no necesitas ser un experto en ciberseguridad para solucionarlo. En este artículo te explico, paso a paso, cómo escanear malware WordPress y eliminar malware WordPress utilizando herramientas gratuitas. Además, aprenderás a fortalecer la seguridad WordPress gratis para prevenir futuros ataques.

Imagina que tu sitio web es como tu casa digital. El malware es un intruso que entra sin permiso, roba información o rompe cosas. Con estas herramientas gratuitas, podrás hacer una "limpieza profunda" sin gastar un centavo. Vamos a ello.

¿Por qué es importante escanear tu WordPress?

WordPress es el sistema de gestión de contenidos (CMS) más popular del mundo, y precisamente por eso es un objetivo frecuente de ciberataques. El malware puede esconderse en archivos, bases de datos o incluso en plugins y temas. Los síntomas más comunes son:

• Redirecciones extrañas: Al hacer clic en un enlace, te lleva a una página de spam o de apuestas.
• Contenido inyectado: Aparecen anuncios, enlaces o textos que no has puesto.
• Rendimiento lento: El servidor se satura porque el malware está usando recursos para enviar spam.
• Alertas de Google: Tu sitio aparece como "no seguro" o "infectado" en los resultados de búsqueda.

[WARNING] Si notas alguno de estos síntomas, actúa rápido. El malware puede dañar tu reputación, hacer que pierdas tráfico y hasta que te penalicen los buscadores.

Herramientas gratuitas para escanear malware WordPress

No necesitas contratar servicios caros. Existen herramientas gratuitas muy potentes que te ayudarán a detectar y limpiar infecciones. Aquí te presento las más recomendadas:

1. Wordfence (Plugin gratuito)

Wordfence es uno de los plugins de seguridad más completos y populares. Su versión gratuita incluye un escáner de malware, firewall y bloqueo de IPs maliciosas.

Cómo usarlo:

1. Ve a tu panel de administración de WordPress > Plugins > Añadir nuevo.
2. Busca "Wordfence Security" e instálalo y actívalo.
3. Una vez activado, ve a Wordfence > Scan.
4. Haz clic en "Start New Scan". El escáner revisará archivos, temas, plugins, base de datos y comparará con firmas de malware conocidas.
5. Espera a que termine (puede tardar unos minutos). Te mostrará una lista de archivos sospechosos.

Qué hacer con los resultados:

• Si encuentra archivos infectados, puedes "Reparar" o "Eliminar" desde la misma interfaz.
• Wordfence también te permite "Ignorar" falsos positivos (archivos que parecen malos pero no lo son).

[TIP] Wordfence también tiene un firewall que bloquea tráfico malicioso. Actívalo desde Wordfence > Firewall > "Enable enhanced protection".

2. Sucuri SiteCheck (Escáner online gratuito)

Sucuri es una empresa de seguridad reconocida. Su herramienta online SiteCheck escanea tu sitio web en busca de malware, listas negras y vulnerabilidades. No requiere instalación.

Cómo usarlo:

1. Ve a sitecheck.sucuri.net.
2. Ingresa la URL de tu sitio web.
3. Haz clic en "Scan Website".
4. En unos segundos, verás un informe con problemas detectados (malware, redirecciones, etc.).

Limitaciones: Es un escáner externo, por lo que no puede reparar archivos. Pero es ideal para una primera revisión rápida.

[INFO] Si Sucuri detecta algo, te dará pistas sobre qué archivos están infectados. Luego puedes usar Wordfence o un cliente FTP para eliminarlos manualmente.

3. MalCare (Versión gratuita limitada)

MalCare es otro plugin de seguridad con un escáner gratuito bastante eficaz. Su versión gratuita permite escanear tu sitio sin límite de veces, pero la limpieza automática es de pago.

Cómo usarlo:

1. Instala y activa el plugin "MalCare Security – Free Malware Scanner".
2. Ve a MalCare > Scan.
3. Haz clic en "Scan Now". Escanea en busca de archivos maliciosos, enlaces sospechosos y backdoors.
4. Revisa los resultados. Si hay infecciones, MalCare te mostrará los archivos afectados.

Qué hacer: Anota los archivos infectados y luego elimínalos manualmente mediante FTP o desde el panel de archivos de tu hosting.

4. GOTMLS (Plugin gratuito)

GOTMLS (Get Off The Malware List) es un plugin ligero y gratuito que se enfoca en escanear y eliminar malware. Tiene un sistema de firmas actualizado.

Cómo usarlo:

1. Instala "GOTMLS" desde el repositorio de WordPress.
2. Ve a GOTMLS > Scan Settings y configura lo básico (puedes dejarlo por defecto).
3. Ve a GOTMLS > Scan y haz clic en "Run Scan".
4. El escáner revisará archivos y base de datos. Te mostrará una lista con los archivos infectados.
5. Puedes "Repair" o "Delete" desde la misma interfaz.

[WARNING] GOTMLS puede generar falsos positivos con algunos temas o plugins. Siempre verifica antes de eliminar un archivo.

Pasos para eliminar malware WordPress manualmente

Si las herramientas automáticas no logran limpiar todo, o si prefieres hacerlo tú mismo, aquí tienes una guía paso a paso. Necesitarás acceso a tu panel de control de hosting o a un cliente FTP (como FileZilla).

Paso 1: Haz una copia de seguridad

Antes de tocar nada, siempre haz una copia de seguridad completa de tu sitio (archivos y base de datos). Así, si algo sale mal, puedes restaurarlo.

• Desde tu hosting: busca la opción de "Backup" o "Copias de seguridad".
• Desde WordPress: usa plugins como UpdraftPlus (gratuito).

Paso 2: Identifica archivos sospechosos

Usa Wordfence o MalCare para obtener una lista de archivos infectados. Anota las rutas completas (ejemplo: /wp-content/uploads/malware.php).

Paso 3: Accede a los archivos por FTP

1. Conéctate a tu servidor usando un cliente FTP (FileZilla) o el administrador de archivos de tu hosting.
2. Navega hasta la carpeta wp-content y luego a uploads, plugins, themes, etc.
3. Busca los archivos sospechosos que anotaste.

Paso 4: Elimina los archivos maliciosos

• Haz clic derecho sobre el archivo y selecciona "Eliminar".
• Si el archivo está dentro de un plugin o tema legítimo, es mejor reinstalar ese plugin/tema desde el panel de WordPress (así se reemplazan los archivos limpios).

Paso 5: Revisa la base de datos

El malware también puede esconderse en la base de datos. Usa un plugin como WP-Optimize o Advanced Database Cleaner para buscar entradas sospechosas (tablas con nombres extraños, usuarios admin falsos, etc.).

• Ve a tu phpMyAdmin (desde el panel de hosting).
• Busca tablas con prefijos inusuales (ejemplo: wp_malware_xyz).
• Elimina esas tablas, pero con cuidado. Si no estás seguro, consulta a soporte técnico.

[TIP] Si tu hosting usa Syspanel (antes HestiaCP), accede a tu panel de control en el puerto 2106 (ejemplo: https://tudominio.com:2106). Desde ahí puedes gestionar copias de seguridad y acceder a phpMyAdmin.

Paso 6: Cambia todas las contraseñas

Después de limpiar, cambia las contraseñas de:

• WordPress (todos los usuarios, especialmente admin).
• Base de datos.
• FTP.
• Hosting.

Usa contraseñas seguras (mezcla de mayúsculas, minúsculas, números y símbolos).

Cómo fortalecer la seguridad WordPress gratis (prevención)

Una vez limpio, es clave evitar que vuelva a pasar. Aquí tienes medidas gratuitas y efectivas:

1. Mantén todo actualizado

• WordPress, temas y plugins siempre en su última versión.
• Activa las actualizaciones automáticas en WordPress > Actualizaciones.

2. Usa contraseñas fuertes y autenticación en dos pasos (2FA)

• Instala un plugin como Google Authenticator o Wordfence Login Security para añadir 2FA.
• No uses "admin" como nombre de usuario.

3. Limita los intentos de inicio de sesión

• Con Wordfence o Limit Login Attempts Reloaded, bloquea IPs que intenten acceder muchas veces.

4. Elimina plugins y temas que no uses

• Cada plugin extra es una posible puerta de entrada. Borra los que no necesites.

5. Instala un plugin de seguridad completo

• Wordfence (gratuito) ya cubre firewall, escáner y bloqueo de IPs.

6. Cambia la URL de inicio de sesión

• Usa WPS Hide Login para que tu login no sea /wp-admin sino algo personalizado (ejemplo: /micamino-secreto).

7. Realiza escaneos periódicos

• Programa escaneos semanales con Wordfence o MalCare.

[INFO] La seguridad no es un evento único, es un hábito. Dedica 10 minutos a la semana a revisar tu sitio.

Preguntas frecuentes (FAQ)

¿Puedo escanear malware WordPress sin instalar plugins?

Sí, usando herramientas online como Sucuri SiteCheck. Pero solo detectan problemas externos. Para una limpieza profunda, necesitas plugins o acceso al servidor.

¿Qué hago si el malware vuelve después de limpiar?

Puede que haya un "backdoor" oculto (un archivo que permite reingresar). Escanea con Wordfence en modo "High Sensitivity" y revisa la carpeta wp-content/uploads (donde suelen esconderse).

¿Mi hosting puede ayudarme a eliminar malware?

Algunos hosting ofrecen limpieza gratuita. Pregunta a soporte. Si usas Syspanel (HestiaCP), puerto 2106, puedes solicitar ayuda desde el panel.

¿Es seguro usar plugins gratuitos de seguridad?

Sí, siempre que sean de fuentes confiables (WordPress.org). Wordfence, MalCare y GOTMLS son seguros y ampliamente usados.

¿Cómo sé si un archivo es falso positivo?

Compara el archivo con una copia limpia del mismo plugin/tema. Si el archivo es parte de un plugin legítimo y no coincide con la versión oficial, puede estar infectado.

Conclusión

Escanear y eliminar malware WordPress no tiene por qué ser un dolor de cabeza. Con herramientas gratuitas como Wordfence, Sucuri SiteCheck y MalCare, puedes detectar infecciones y limpiarlas en pocos pasos. Recuerda siempre hacer una copia de seguridad antes de modificar archivos y, sobre todo, fortalecer la seguridad de tu sitio para evitar futuros ataques.

La seguridad WordPress gratis está al alcance de tu mano. Solo necesitas dedicar un poco de tiempo y seguir estos consejos. Si tienes dudas, no dudes en consultar el soporte de tu hosting o buscar ayuda en foros especializados. ¡Tu sitio web te lo agradecerá!