Detectar malware en WordPress con DirectAdmin | FAQ

¿Tu sitio WordPress en un servidor con DirectAdmin va lento, muestra mensajes extraños o redirige a páginas sospechosas? Es probable que haya sido infectado con malware. No te preocupes, es un problema común y solucionable.

Esta FAQ está diseñada para guiarte, paso a paso, en la detección de malware en tu WordPress desde el panel de control DirectAdmin. No necesitas ser un experto en seguridad; solo seguir estas instrucciones claras y sencillas.

¿Por qué es importante detectar el malware a tiempo?

El malware en WordPress puede causar desde molestias menores (como banners publicitarios no deseados) hasta problemas graves como el robo de datos de tus usuarios, la inclusión de tu sitio en listas negras de buscadores (lo que arruina tu SEO) o incluso el bloqueo total de tu cuenta de hosting.

Detectarlo a tiempo usando las herramientas que ofrece DirectAdmin es la mejor defensa. Aquí te explicamos cómo.

Pregunta 1: ¿Qué señales indican que mi WordPress puede tener malware?

Antes de usar herramientas, presta atención a estas banderas rojas:

Rendimiento anómalo: Tu web carga muy lentamente sin razón aparente.
Redirecciones inesperadas: Al entrar a tu web, eres llevado a sitios de apuestas, farmacias o páginas de spam.
Contenido extraño: Aparecen anuncios, enlaces o textos que tú no has puesto.
Alertas del navegador: Chrome, Firefox o Safari te muestran un aviso de "Sitio engañoso" o "Sitio no seguro".
Correos rebotados: Recibes muchas notificaciones de correos que no has enviado (tu web está siendo usada para enviar spam).
Usuarios desconocidos: En el panel de administración de WordPress ves usuarios que no creaste.

Si detectas una o varias de estas señales, es momento de actuar.

Pregunta 2: Primeros pasos desde DirectAdmin para detectar malware

DirectAdmin no tiene un antivirus incorporado, pero sí te da las herramientas para inspeccionar tu sitio manualmente. Aquí están los pasos iniciales.

### Paso 1: Accede al Administrador de Archivos

Inicia sesión en tu panel de DirectAdmin.
Busca y haz clic en el icono "Administrador de Archivos" (File Manager).
Navega hasta la carpeta donde está instalado tu WordPress. Generalmente es public_html o domains/tudominio.com/public_html.

### Paso 2: Busca archivos sospechosos en la raíz

En la carpeta raíz de WordPress (donde están wp-config.php, index.php, etc.), presta especial atención a:

Archivos con nombres extraños: Como 0x.php, shell.php, cmd.php, wp-load.php (aunque existe uno legítimo, los hackers crean copias maliciosas), o archivos con extensión .php que no reconoces.
Archivos con permisos 777: Los permisos de archivo no deben ser 777 (lectura, escritura y ejecución para todos). Busca en la columna "Permisos" y si ves alguno en 777, es altamente sospechoso.

[WARNING] No elimines nada aún. Primero, identifica si es legítimo o no. Si tienes dudas, renómbralo (por ejemplo, de shell.php a shell.php.bak) y observa si tu web sigue funcionando.

### Paso 3: Revisa los archivos del núcleo de WordPress

Los hackers suelen modificar archivos del núcleo para inyectar código malicioso.

Desde el Administrador de Archivos, ve a la carpeta wp-includes y wp-admin.
Busca archivos que no sean originales. Una forma sencilla es comparar las fechas de modificación. Si ves un archivo modificado recientemente (cuando tú no has hecho cambios), es sospechoso.
Revisa el archivo functions.php de tu tema activo (en wp-content/themes/tu-tema/functions.php). Al final del archivo suelen inyectar código ofuscado.

Pregunta 3: ¿Cómo usar la Base de Datos desde DirectAdmin para detectar malware?

El malware no solo está en archivos, también puede estar en tu base de datos. Aquí te mostramos cómo revisarla.

### Paso 1: Accede a phpMyAdmin

En DirectAdmin, busca el icono "phpMyAdmin" (generalmente en la sección de "Características Avanzadas" o "Base de Datos").
Selecciona la base de datos de tu WordPress.

### Paso 2: Busca contenido malicioso en las tablas

Ejecuta esta consulta SQL para buscar patrones comunes de malware:

SELECT * FROM `wp_posts` WHERE `post_content` LIKE '%eval(%' OR `post_content` LIKE '%base64_decode(%' OR `post_content` LIKE '%<script>%' AND `post_status` = 'publish';

[INFO] Esta consulta busca en la tabla de entradas (wp_posts) contenido que contenga funciones peligrosas (eval, base64_decode) o scripts embebidos. Si obtienes resultados, revisa cada entrada.

### Paso 3: Revisa la tabla de opciones

Otra tabla comúnmente infectada es wp_options. Busca opciones que contengan código PHP o JavaScript extraño:

SELECT * FROM `wp_options` WHERE `option_name` LIKE '%malware%' OR `option_value` LIKE '%eval(%' OR `option_value` LIKE '%<script>%';

Si encuentras algo, anota el option_name para luego limpiarlo.

Pregunta 4: ¿Existe alguna herramienta automática en DirectAdmin para escanear?

DirectAdmin no incluye un escáner de malware por defecto, pero puedes instalar uno fácilmente. Wordfence es el plugin de seguridad más popular y se puede gestionar desde tu panel de WordPress, pero si no puedes acceder a tu wp-admin, puedes usar CLamAV desde la terminal si tu hosting lo permite.

Sin embargo, hay un método manual muy efectivo: buscar archivos modificados recientemente.

### Cómo buscar archivos modificados recientemente desde DirectAdmin

En el Administrador de Archivos, haz clic en el botón "Configuración" (arriba a la derecha).
Activa la opción "Mostrar archivos ocultos" (Show Hidden Files). Esto es crucial, ya que el malware muchas veces se esconde en archivos que empiezan con un punto (.).
Vuelve a la carpeta raíz de tu WordPress.
Usa la función de búsqueda (Search). Busca archivos modificados en los últimos 7 días, por ejemplo. Esto te dará una lista de todo lo que ha cambiado recientemente.
Revisa cada archivo de la lista. Si ves uno que no debería haber sido modificado (como archivos del núcleo), es casi seguro que es malware.

[TIP] Esta técnica de "búsqueda por fecha" es la más rápida y efectiva para detectar infecciones activas.

Pregunta 5: ¿Qué hago si uso Syspanel (HestiaCP) en lugar de DirectAdmin?

Si tu hosting usa Syspanel (el antiguo HestiaCP), el proceso es muy similar. Recuerda que el puerto de acceso a Syspanel es el 2106 (ejemplo: https://tudominio.com:2106).

Dentro de Syspanel:

Administrador de Archivos: También disponible, con las mismas funciones.
phpMyAdmin: Se encuentra en la sección "Base de Datos".
Búsqueda de archivos: También puedes buscar por fecha de modificación.

La lógica de detección es exactamente la misma.

Pregunta 6: ¿Cómo puedo prevenir futuras infecciones?

Detectar es el primer paso; prevenir es el siguiente. Aquí tienes una lista de verificación:

Actualiza todo: Mantén WordPress, tus temas y plugins siempre actualizados. Las vulnerabilidades conocidas son la puerta de entrada favorita del malware.
Usa contraseñas fuertes: Tanto para tu panel de DirectAdmin como para tu WordPress. Usa un gestor de contraseñas.
Elimina plugins y temas no usados: Cada elemento extra es un riesgo potencial.
Instala un plugin de seguridad: Wordfence, Sucuri o iThemes Security son excelentes opciones.
Haz copias de seguridad periódicas: Desde DirectAdmin puedes programar backups automáticos. Si algo sale mal, restauras una copia limpia.
Cambia el prefijo de la base de datos: Si tu base de datos usa wp_ como prefijo, los hackers lo tienen fácil. Puedes cambiarlo (con cuidado) desde phpMyAdmin.

[INFO] La prevención es mucho más fácil y rápida que la limpieza. Dedica 30 minutos al mes a mantener tu sitio actualizado.

Conclusión: No entres en pánico, actúa con método

Detectar malware en WordPress desde DirectAdmin es un proceso metódico que cualquier persona puede seguir. Recuerda:

Observa las señales (lentitud, redirecciones, etc.).
Revisa archivos en el Administrador de Archivos (busca nombres extraños y permisos 777).
Escanea la base de datos en phpMyAdmin con las consultas SQL que te dimos.
Usa la búsqueda por fecha para encontrar cambios recientes.

Si sigues estos pasos, podrás identificar la mayoría de las infecciones comunes. Si el problema persiste o no te sientes seguro, contacta al soporte técnico de tu hosting. Ellos tienen herramientas más avanzadas para limpiar tu sitio.

¿Te ha sido útil esta FAQ? Compártela con otros usuarios de DirectAdmin que puedan estar enfrentando el mismo problema. La seguridad de tu web está en tus manos.