Cuando alguien nos escribe con un «creo que me han hackeado la web», casi nunca trae una prueba. Trae una sospecha: la web va lenta, en Google salen cosas raras o un cliente le ha comentado algo. Con este post puedes salir de dudas tú mismo, mirando lo mismo que miramos nosotros cuando entramos en un WordPress sospechoso.
Contenido
Señales de malware en WordPress que se ven desde fuera
Son las que suelen dar la voz de alarma. Una sola no demuestra nada. Con dos, yo ya me pondría a revisar:
- La web redirige a otra página, a veces solo desde el móvil o cuando se entra desde Google. Te explico por qué pasa en mi WordPress redirige a otra web.
- Al buscar «site:tudominio.com» en Google salen páginas que no has creado, muchas veces en japonés o con productos que no vendes.
- Chrome o Google avisan de «sitio peligroso» o «sitio engañoso».
- A tus visitas les aparece una verificación falsa que pide pegar algo en el ordenador. Es el ataque ClickFix y este año lo estamos viendo mucho.
- El hosting te avisa de que tu web envía spam o te suspende la cuenta.
- La web va lentísima y el servidor está al 100 % sin que tengas más visitas.
Abre también tu web en una ventana de incógnito y desde el móvil con datos, sin el wifi de casa. Bastante malware se esconde de los administradores conectados y de quien ya ha visitado la web antes, así que tú puedes ser el último en verlo.
Lo que solo ves por dentro
Para confirmarlo necesitas entrar en el escritorio de WordPress y en el administrador de archivos del hosting (o por FTP). Estas son las cinco cosas que revisamos siempre, por este orden.
Administradores que no conoces
En Usuarios, filtra por Administrador. Si hay alguno que no reconoces, aunque el nombre parezca de fiar («admin2», «wpsupport», «soporte»), ya tienes la respuesta. En la última web que limpiamos, el atacante se había creado su propio administrador en julio y nadie lo vio hasta octubre.
Plugins que tú no instalaste
Compara la lista de plugins del escritorio con lo que hay en la carpeta wp-content/plugins del servidor. Hay malware que se borra a sí mismo del listado de WordPress, pero la carpeta sigue ahí. En esa misma web encontramos 31 plugins y temas falsos con puertas traseras. Mira también wp-content/mu-plugins: lo que hay en esa carpeta se carga siempre y no se puede desactivar desde el escritorio, por eso les gusta tanto a los atacantes.
Archivos PHP donde no pintan nada
La carpeta wp-content/uploads es para imágenes y documentos. Un archivo .php ahí dentro es casi siempre mala señal. Ordena por fecha de modificación y busca también archivos con nombres que imitan a los de WordPress (tipo wp-tmp.php o wp-cache.php) y cambios en wp-config.php o .htaccess en días en los que nadie tocó la web.
Tareas programadas raras
Cuando borras el malware y a los dos días vuelve, suele haber una tarea programada que lo reinstala. Con un plugin como WP Crontrol ves las tareas de WordPress, y en el panel del hosting, los cron del servidor. Si alguna descarga algo de una dirección que no conoces, apúntala antes de borrarla: es una pista de cómo entraron.
Código extraño en la base de datos
Desde phpMyAdmin, busca «<script» en la tabla de entradas (wp_posts, o con el prefijo que tenga tu instalación) y revisa en wp_options que siteurl y home sean tu dominio. Un script que tú no pusiste dentro de una entrada o una página es justo lo que provoca las redirecciones y los avisos falsos.
Escáneres de malware para WordPress: qué ve cada uno
Un escáner ayuda mucho, pero cada tipo mira en un sitio distinto. Antes de fiarte de un resultado en verde, conviene saber qué ha revisado y qué se ha quedado sin ver.
Escáneres online (Sucuri SiteCheck y parecidos)
Pones la dirección y analizan la web como lo haría un visitante. Son gratis y sirven para detectar redirecciones, spam visible y si estás en alguna lista negra. Solo ven lo que llega al navegador, así que una puerta trasera escondida en un archivo PHP del servidor se les escapa. El propio Sucuri avisa de que un resultado limpio no garantiza que la web lo esté.
Plugins de seguridad (Wordfence y compañía)
Wordfence revisa los archivos desde dentro del servidor y compara WordPress, temas y plugins con las versiones oficiales. Ve bastante más que un escáner online. Ojo con la versión gratuita: recibe las firmas de malware nuevo 30 días después que la de pago, y lo más reciente se le puede pasar. Además, si la web ya está infectada, el plugin corre dentro de esa misma web y hay malware que lo desactiva.
Comparar los archivos con los originales (WP-CLI)
Si tu hosting te da acceso SSH, hay dos comandos que usamos en todas las revisiones. wp core verify-checksums compara los archivos de WordPress con los oficiales y wp plugin verify-checksums --all hace lo mismo con los plugins descargados de WordPress.org. Te saca la lista de archivos que no coinciden o que sobran. Con los plugins de pago no funciona, porque no están en WordPress.org.
El escáner de tu hosting
Si tu panel tiene Imunify360 o algo parecido, úsalo: analiza todos los archivos de la cuenta y no depende de que WordPress funcione. En nuestros servidores lo tenemos activo junto con Wazuh, y son los que nos avisan cuando aparece un archivo raro en cualquiera de las webs alojadas.
Qué hacer si tu web ha sido hackeada (o el escáner da positivo)
Con la web infectada, las prisas suelen empeorarlo todo. Antes de tocar nada:
- No borres archivos a lo loco ni restaures una copia sin saber si está limpia. Si la copia también está infectada, vuelves al principio y pierdes las pistas de cómo entraron.
- Haz una copia de la web tal como está, con el malware dentro.
- Cambia las contraseñas del hosting, del correo y de los administradores desde un ordenador que sepas que está limpio.
- Apunta lo que has encontrado: usuarios, archivos, fechas. A quien lo limpie le ahorra horas.
Para limpiarlo bien hay que reinstalar el código desde las fuentes oficiales y cerrar la vía por la que entraron. Cómo lo hacemos lo tienes en nuestra página de limpieza de WordPress hackeado, con el diagnóstico gratis si prefieres que lo miremos nosotros.
Preguntas frecuentes sobre malware en WordPress
Si el escáner sale limpio, ¿mi web está libre de malware?
Solo te dice que no ha encontrado nada de lo que sabe buscar. Los escáneres online no ven los archivos del servidor y los plugins gratuitos tardan en conocer el malware nuevo. Si tienes síntomas y el escáner sale limpio, fíate de los síntomas.
¿Wordfence gratis es suficiente?
Para una web pequeña en un buen hosting, como primera capa, sí. Ten en cuenta el retraso de 30 días en las firmas y que no te libra de tener todo actualizado ni de guardar copias fuera del servidor.
¿Un plugin de seguridad puede limpiar el malware?
Puede quitar los archivos que reconoce, pero no te dice por dónde entraron ni encuentra todas las puertas traseras. Lo vemos a menudo: alguien «limpia» con un plugin y a la semana la web vuelve a estar infectada.
¿Cada cuánto debería revisar mi WordPress?
Para la mayoría de webs de empresa, un análisis automático cada semana y un vistazo a usuarios y plugins una vez al mes. Si tienes tienda online, el análisis mejor a diario. Con el mantenimiento WordPress lo hacemos nosotros por ti.
¿Has encontrado algo raro en tu WordPress?
Mándanos el dominio y lo que has visto. El diagnóstico es gratis, la limpieza empieza desde 150 € + IVA y, si escribes en horario laboral, te contestamos el mismo día.
Pedir diagnóstico gratisEscrito por Juan Jesús Santos García, fundador de Soluciones Web 365. Más de 18 años manteniendo y reparando webs WordPress, WooCommerce y PrestaShop desde Alfafar (Valencia), con hosting propio.
