Cómo eliminar malware de WordPress

Si su sitio web desarrollado en WordPress ha sido comprometido por malware, es importante realizar una limpieza completa de los archivos y verificar que no existan otros archivos maliciosos dentro de la cuenta de hosting.

Antes de comenzar, recomendamos realizar una copia de seguridad completa de la cuenta y conservarla como respaldo. Durante el proceso se eliminarán archivos y se reinstalarán componentes de WordPress, por lo que es importante contar con una copia que permita recuperar la información en caso de ser necesario.

También puede realizar una comprobación inicial utilizando un escáner en línea como Sucuri SiteCheck.

Importante: la detección de malware puede requerir una revisión adicional. No elimine archivos únicamente porque tengan nombres extraños o porque un antivirus los marque como sospechosos. Antes de eliminarlos, verifique su ubicación y contenido.

1.- Escanee su computadora

Las infecciones pueden llegar a un sitio web de diferentes formas. Una de ellas es mediante malware instalado en el equipo utilizado para administrar el hosting, que podría comprometer contraseñas de cPanel, FTP u otros servicios.

Antes de realizar la limpieza del sitio, analice su computadora con un antivirus actualizado, como ESET, AVG, Microsoft Defender u otra solución de seguridad confiable.

2.- Cambie las contraseñas de cPanel y FTP

Cambie las credenciales de acceso utilizadas para administrar su cuenta:

• Contraseña de acceso a cPanel.
• Contraseñas de las cuentas FTP.
• Otras credenciales administrativas que pudieran haber sido comprometidas.

Recomendamos utilizar contraseñas largas, únicas y difíciles de adivinar. Puede utilizar un generador de contraseñas seguras como Strong Password Generator.

3.- Descargue una versión limpia de WordPress

Ingrese al sitio oficial de WordPress:

Descargar WordPress

Haga clic en Download para descargar la versión disponible.

4.- Genere una copia de seguridad completa de cPanel

Ingrese a su cuenta de cPanel y genere una copia de seguridad completa de su cuenta.

Descargue la copia de seguridad en su computadora y consérvela en un lugar seguro.

Importante: esta copia puede contener archivos del sitio, bases de datos, correos electrónicos y otra información de la cuenta. Trátela como información confidencial.

5.- Descomprima la copia de seguridad

Ubique el archivo de respaldo descargado en su computadora.

Para trabajar con el contenido del respaldo, descomprímalo utilizando una herramienta de extracción de archivos.

El procedimiento puede variar según el programa utilizado para comprimir o descomprimir archivos.

Nota de seguridad: no es recomendable desactivar permanentemente Windows Defender. Si su antivirus detecta un archivo durante la extracción, revise la detección antes de continuar. Mantenga la protección activa siempre que sea posible.

6.- Ubique los archivos de WordPress

Ingrese al respaldo descomprimido y diríjase a:

Homedir → public_html

Si el sitio que desea limpiar corresponde a un subdominio o dominio adicional, deberá ingresar a la carpeta correspondiente a dicho dominio o subdominio en lugar de utilizar directamente public_html.

7.- Elimine los archivos infectados de WordPress

Dentro de la carpeta correspondiente al sitio, seleccione el contenido existente y elimine los archivos de WordPress que serán reemplazados.

No elimine:

• wp-content
• wp-config.php

8.- Revise el archivo wp-config.php

Abra el archivo wp-config.php utilizando un editor de código o el Bloc de notas.

Revise si existe código que no corresponda a la configuración habitual de WordPress, especialmente bloques de código extensos, cadenas de caracteres aleatorios o instrucciones agregadas recientemente.

Puede comparar el archivo con wp-config-sample.php, incluido en la descarga limpia de WordPress.

Si identifica código malicioso, elimine únicamente el contenido que haya confirmado como sospechoso.

9.- Revise y elimine los plugins

Ingrese a:

wp-content → plugins

Copie el contenido de esta carpeta en otra ubicación para conservarlo como respaldo.

Después, elimine el contenido de la carpeta plugins de la copia que está preparando para la limpieza.

Los plugins utilizados se instalarán nuevamente después de completar la restauración.

10.- Revise y elimine los themes

Ingrese a:

wp-content → themes

Realice una copia del contenido de esta carpeta y posteriormente elimine el contenido de themes de la copia que está preparando para la limpieza.

11.- Revise el contenido de wp-content

Ingrese nuevamente a wp-content.

Seleccione el contenido que desea eliminar, exceptuando:

• plugins
• themes
• uploads
• Cualquier otra carpeta que utilice específicamente y cuya información deba conservarse.

Preste especial atención a archivos ejecutables, especialmente archivos .php, ubicados en lugares donde normalmente no deberían existir.

12.- Busque archivos maliciosos con Windows Defender

12.1.- Active Windows Defender

Ingrese a Inicio, escriba Seguridad de Windows y abra la aplicación.

También puede consultar la documentación oficial de Microsoft sobre cómo activar Microsoft Defender:

Activar Windows Defender

12.2.- Ingrese a las opciones del antivirus

Haga clic en Protección contra virus y amenazas y acceda a las opciones de antivirus de Microsoft Defender.

12.3.- Acceda a las opciones de examen

Haga clic en Opciones de examen.

12.4.- Seleccione Examen personalizado

Seleccione Examen personalizado y haga clic en Examinar ahora

12.5.- Seleccione la carpeta que desea analizar

Ubique y seleccione la carpeta o archivo que desea examinar y haga clic en Seleccionar carpeta.

12.6.- Revise las amenazas detectadas

Si Windows Defender encuentra una amenaza, se mostrará el resultado correspondiente.

12.7.- Consulte los detalles de la amenaza

Despliegue las opciones con la flecha hacia abajo y haga clic en Ver detalles.

Según el resultado obtenido, Windows Defender puede permitir acciones como:

• Poner en cuarentena
• Quitar
• Permitir en el dispositivo

Recomendación: no seleccione Permitir en el dispositivo si no ha confirmado que la detección corresponde a un archivo legítimo.

12.8.- Ubique el archivo detectado

Revise la ubicación indicada por Windows Defender para identificar el archivo que generó la detección.

12.9.- Revise el contenido del archivo

Ingrese a la ubicación indicada y revise el contenido del archivo detectado.

Si confirma que se trata de código malicioso, elimine el archivo.

Si se detecta más de un archivo, revise cada detección antes de eliminarla.

13.- Realice un segundo análisis con otro antivirus

Para aumentar la posibilidad de detectar archivos maliciosos que puedan no haber sido identificados por Windows Defender, puede realizar un segundo análisis utilizando otro antivirus actualizado.

13.1.- Analice la carpeta

Seleccione la carpeta que desea revisar, haga clic derecho y seleccione la opción correspondiente a Analizar con su antivirus.

Si existen carpetas adicionales a uploads, realice el análisis sobre ellas.

13.2.- Revise el resultado

Si el antivirus detecta una amenaza, siga las acciones recomendadas por el programa, como poner el archivo en cuarentena o eliminarl

14.- Realice una revisión manual de archivos

14.1.- Revise la carpeta uploads

Ingrese a la carpeta:

wp-content → uploads

Busque archivos ejecutables .php o archivos con nombres inusuales o aleatorios.

Importante: normalmente la carpeta uploads almacena imágenes, documentos y otros archivos multimedia. Un archivo PHP inesperado dentro de esta ubicación debe revisarse cuidadosamente.

14.2.- Revise el contenido de los archivos sospechosos

Abra los archivos sospechosos y revise su contenido.

Si confirma que contienen código malicioso, elimínelos.

Realice la misma revisión en las subcarpetas y demás carpetas adicionales que utilice el sitio.

15.- Copie los archivos limpios de WordPress

Ingrese a la versión limpia de WordPress que descargó anteriormente.

Seleccione todo el contenido excepto:

• wp-content
• wp-config-sample.php

16.- Pegue los archivos limpios

Ingrese a la carpeta correspondiente al sitio, en este caso public_html.

Haga clic derecho sobre un espacio vacío y seleccione Pegar.

17.- Comprima la carpeta public_html

Seleccione la carpeta public_html, haga clic derecho y seleccione la opción para añadirla a un archivo comprimido.

Seleccione el formato ZIP y haga clic en Aceptar.

18.- Revise la carpeta mail

Ubique e ingrese a la carpeta mail y posteriormente a la carpeta que corresponde al nombre de su dominio.

19.- Analice los archivos de correo

Realice un análisis con Windows Defender sobre las cuentas de correo o directamente sobre la carpeta correspondiente al dominio.

Para seleccionar una cuenta específica, diríjase a:

Homedir → mail → nombre del dominio

Seleccione la carpeta correspondiente y ejecute el examen personalizado siguiendo los pasos 12 al 12.9.

19.1.- Revise especialmente la carpeta de spam

Los archivos maliciosos pueden encontrarse dentro de las carpetas utilizadas para almacenar mensajes de spam.

Revise la ubicación indicada en el procedimiento.

19.2.- Elimine archivos confirmados como maliciosos

Si después de revisar el contenido confirma que el archivo es malicioso, proceda a eliminarlo.

20.- Realice una verificación manual de las cuentas de correo

Revise si existen carpetas o archivos correspondientes a cuentas de correo que no reconoce o que nunca fueron creadas por usted.

Si identifica información sospechosa, revise cuidadosamente su contenido antes de eliminarla.

21.- Comprima la carpeta de correos

Seleccione la carpeta que lleva el nombre de su dominio.

Haga clic derecho, seleccione la opción para añadirla a un archivo comprimido, seleccione ZIP y haga clic en Aceptar.

22.- Comprima la carpeta etc

Ubique la carpeta etc y comprima en formato ZIP la carpeta correspondiente al nombre de su dominio.

Seleccione la carpeta, haga clic derecho, seleccione ZIP y haga clic en Aceptar.

23.- Tome nota de los plugins y themes utilizados

Antes de solicitar el formateo de la cuenta, registre los plugins y themes que utiliza actualmente el sitio. Esta información será necesaria para reinstalarlos posteriormente.

23.1.- Ingrese a cPanel y acceda a Softaculous

23.2.- Acceda al Administrador de WordPress

Haga clic en el ícono W ubicado en la parte superior derecha para ingresar al Administrador de WordPress.

23.3.- Acceda a la administración de plugins

Despliegue las opciones disponibles y haga clic en Administrar plugins.

23.4.- Registre los plugins utilizados

Tome una captura de pantalla o anote los plugins instalados.

Guarde esta información para utilizarla posteriormente durante la reinstalación.

23.5.- Registre el theme utilizado

De la misma manera, acceda a Administrar themes y registre el theme actualmente utilizado.

24.- Solicite el formateo de la cuenta

Una vez que haya realizado los respaldos y verificaciones anteriores, solicite al área de soporte el formateo de la cuenta.

Esta acción es recomendable cuando existe la posibilidad de que el malware se encuentre oculto en otra carpeta de la cuenta y no únicamente dentro de public_html.

Importante: el formateo elimina información de la cuenta. Asegúrese de contar con los respaldos necesarios antes de solicitarlo.

25.- Cree nuevamente la base de datos

25.1.- Consulte los datos de la base de datos

Ingrese al backup descomprimido:

Homedir → public_html → wp-config.php

Abra el archivo wp-config.php y consulte:

• Nombre de la base de datos.
• Nombre del usuario.
• Contraseña de la base de datos.

25.2.- Acceda a las bases de datos de cPanel

Ingrese a cPanel y diríjase a la sección Bases de datos.

Haga clic en Bases de datos MySQL.

25.3.- Cree la base de datos

Consulte nuevamente wp-config.php y utilice el nombre de la base de datos que corresponde al sitio.

Introduzca el nombre solicitado y haga clic en Crear una nueva base de datos.

Nota: cPanel puede agregar automáticamente el prefijo correspondiente a la cuenta.

26.- Cree el usuario de la base de datos

En la misma ventana de Bases de datos MySQL, desplácese hasta Usuarios MySQL.

Utilice el nombre de usuario y la contraseña registrados en wp-config.php y cree nuevamente el usuario.

27.- Agregue el usuario a la base de datos

En la sección Añadir usuarios a la base de datos, seleccione:

• El usuario.
• La base de datos.

Haga clic en Añadir.

28.- Asigne todos los privilegios

Seleccione Todos los privilegios y haga clic en Hacer cambios.

29.- Importe la base de datos

29.1.- Abra phpMyAdmin

En cPanel, diríjase a Bases de datos y haga clic en phpMyAdmin.

29.2.- Seleccione la base de datos

Seleccione la base de datos creada y haga clic en Importar.

29.3.- Seleccione el archivo de la base de datos

Haga clic en Seleccionar archivo y diríjase a:

Backup descomprimido → mysql

Seleccione el archivo correspondiente a la base de datos y haga clic en Abrir.

El tamaño máximo permitido puede depender de la configuración de phpMyAdmin y del servidor. Si el archivo supera el límite mostrado, deberá utilizar un método de importación compatible con archivos de mayor tamaño.

29.4.- Inicie la importación

Haga clic en Continuar y espere a que finalice el proceso.

30.- Acceda al Administrador de archivos

En cPanel, diríjase a la sección Archivos y haga clic en Administrador de archivos.

31.- Cargue el archivo de WordPress

Dentro del Administrador de archivos, haga clic en Cargar.

32.- Seleccione el archivo

Haga clic en Seleccionar archivo.

33.- Suba el archivo comprimido de public_html

Diríjase a:

Backup descomprimido → Homedir

Seleccione el archivo comprimido correspondiente a public_html y haga clic en Abrir.

Espere hasta que finalice la carga.

34.- Suba los correos

En el Administrador de archivos, ingrese a la carpeta mail y haga clic en Cargar.

Cuando aparezca la ventana de carga, haga clic en Seleccionar archivo.

35.- Seleccione el respaldo de los correos

Diríjase a:

Backup → Homedir → mail

Seleccione el archivo comprimido que lleva el nombre del dominio y haga clic en Abrir.

Espere hasta que finalice la carga.

36.- Suba el respaldo de etc

En el Administrador de archivos, ingrese a la carpeta etc y haga clic en Cargar.

Cuando aparezca la ventana de carga, haga clic en Seleccionar archivo.

37.- Seleccione el archivo de etc

Diríjase a:

Backup → Homedir → etc

Seleccione el archivo comprimido correspondiente al dominio y haga clic en Abrir.

Espere hasta que finalice la carga.

38.- Descomprima los archivos

Seleccione el archivo comprimido correspondiente a public_html, haga clic derecho y seleccione Extract y posteriormente Extract Files.

Realice el mismo procedimiento con los archivos comprimidos correspondientes a mail y etc.

39.- Reinstale los plugins

Consulte las capturas o anotaciones realizadas anteriormente y reinstale únicamente los plugins que utilizaba.

Seleccione Add Plugins, busque el nombre del plugin y haga clic en Install.

Recomendación: descargue los plugins desde fuentes confiables y evite instalar versiones modificadas o de procedencia desconocida.

40.- Reinstale el theme

Instale únicamente el theme que utilizaba anteriormente.

Seleccione Add Themes, busque el nombre del tema y haga clic en Install.

41.- Active las actualizaciones automáticas

Active las actualizaciones automáticas de WordPress, plugins y themes.

Mantener estos componentes actualizados ayuda a reducir el riesgo de vulnerabilidades conocidas.

42.- Analice el sitio con VirusTotal

Como comprobación adicional, puede analizar la URL de su sitio mediante VirusTotal.

Seleccione la opción para analizar una URL, introduzca la dirección de su sitio web y presione Enter.

Importante: que VirusTotal no detecte amenazas no garantiza que el sitio esté completamente libre de malware. Utilícelo como una comprobación adicional junto con la revisión de archivos y del sitio.

43.- Revise los resultados de VirusTotal

Los resultados muestran los proveedores de seguridad que analizaron la URL y las detecciones realizadas.

Revise especialmente las detecciones que sean coincidentes entre varios proveedores.

44.- Realice una revisión final

Si alguno de los proveedores identifica la URL como maliciosa, revise nuevamente los archivos y configuraciones del sitio para identificar el origen de la detección.

No es recomendable instalar un antivirus únicamente porque un proveedor aparezca en la primera columna de VirusTotal. Cada detección debe analizarse y validarse antes de tomar acciones.

Si Google muestra la advertencia «Este sitio puede dañar tu computadora»

Si su sitio muestra una advertencia de seguridad de Google después de la limpieza, revise nuevamente el sitio y solicite una revisión mediante las herramientas correspondientes de Google.

Una vez confirmado que el sitio está limpio, Google puede retirar la advertencia después de completar su proceso de revisión.

Importante: la eliminación de malware no siempre termina con la limpieza de los archivos. También es recomendable revisar las contraseñas, usuarios administrativos de WordPress, plugins, themes y demás accesos que pudieran haber sido comprometidos.

¿Necesita ayuda adicional? Nuestro equipo de soporte está disponible para ayudarlo.

Solicitar soporte

Hosting SSD Perú.