¿Cómo detectar y eliminar malware de WordPress?

1. Detección (señales y herramientas):

• Señales comunes: Redirecciones inesperadas, anuncios no autorizados, caídas repentinas de rendimiento, errores extraños, alertas de seguridad de tu navegador o Google, contenido desconocido o enlaces spam en tu sitio.
• Plugins de seguridad: Instala y ejecuta un escaneo completo con plugins reputados como «Wordfence Security», «Sucuri Security» o «iThemes Security». Estos pueden detectar archivos maliciosos, puertas traseras e inyecciones de código.
• Escáneres externos: Utiliza herramientas online gratuitas como «Sucuri SiteCheck» o «Google Safe Browse» para un análisis rápido desde fuera.
• Revisa archivos recientes: Accede por FTP o cPanel y busca archivos con fechas de modificación recientes que no hayas tocado, o archivos con nombres extraños en directorios como wp-content/uploads/.

2. Eliminación (pasos cruciales):

• ¡Copia de seguridad! Haz una copia de seguridad antes de limpiar, por si algo sale mal durante el proceso.
• Modo de mantenimiento: Pon tu sitio en modo de mantenimiento para evitar que los visitantes vean el contenido malicioso o sean afectados.
• Elimina código malicioso:
  • Si un plugin de seguridad lo detecta, sigue sus instrucciones para limpiarlo o ponerlo en cuarentena.
  • Si tienes un backup limpio (anterior a la infección), restaura el sitio a ese estado.
  • Manual (avanzado): Descarga una copia nueva de WordPress.org, temas y plugins desde sus fuentes oficiales. Reemplaza los archivos del core, los temas y plugins de tu sitio con estas versiones limpias. Esto sobrescribe cualquier inyección.
  • Revisa wp-config.php y .htaccess: estos archivos suelen ser objetivo. Elimina cualquier línea sospechosa que no reconozcas.
  • Limpia la base de datos: El malware puede inyectar spam o usuarios. Revisa la tabla wp_users y los campos de wp_options en busca de contenido extraño (puedes usar el escáner del plugin de seguridad).
• Cambia todas las contraseñas: Una vez limpio, cambia todas las contraseñas (administrador de WordPress, FTP, base de datos, cPanel).

3. Prevención futura:

• Instala un WAF: Un cortafuegos (ej. Wordfence, Sucuri) puede bloquear ataques antes de que lleguen a tu sitio.
• Mantén todo actualizado: núcleo de WordPress, temas y plugins.
• Contraseñas fuertes y 2FA.
• Plugins y temas solo de fuentes confiables.

Lidiar con malware puede ser complejo. Si no te sientes seguro, considera contratar a un especialista en seguridad de WordPress.