Una limpieza de malware WordPress debe identificar los cambios, conservar la evidencia disponible e investigar cómo pueden reaparecer código o accesos no deseados. El resultado del escáner es una parte de esa evaluación. El alcance y los registros disponibles determinan qué conclusiones se pueden respaldar.
Paso 1 — Preserva la evidencia antes de tocarla
Conserva una copia identificada de los archivos y la base de datos afectados antes de sustituir o limpiar. Registra el estado recibido y puede ayudar a investigar la cronología; un snapshot por sí solo no demuestra la vía de entrada. Acuerda almacenamiento, acceso y separación de las copias destinadas a recuperar la web.
Paso 2 — Encuentra los archivos inyectados y modificados
Compara los archivos afectados del núcleo, plugins y tema con fuentes verificadas antes de elegir sustituciones. Registra diferencias relevantes y conserva los originales. Funciones como base64_decode pueden aparecer en código legítimo: una coincidencia o un nombre desconocido son indicios para investigar, no prueba suficiente para borrar un componente. Revisa el PHP inesperado en directorios de subida con permisos de escritura según el diseño previsto y la evidencia del caso.
¿Tu web está afectada ahora mismo?
Envía la URL y el síntoma que ves. Jordi Ensenyat revisa el caso personalmente y define el alcance y el presupuesto antes de tocar nada. Este formulario nunca pide contraseñas.
Paso 3 — Limpia la base de datos, no solo los archivos
Revisa opciones, contenido, cuentas y tareas relevantes frente a la configuración esperada. Un valor guardado o una entrada de cron necesitan código que los lea o ejecute para producir un efecto. Identifica componente y callback, conservando ajustes y tareas legítimas. Una modificación recurrente puede implicar datos, una función programada, accesos comprometidos u otra web; la investigación debe distinguirlos.
Paso 4 — Cierra la vía de entrada
Investiga componentes vulnerables, accesos expuestos y rutas de despliegue con los registros disponibles. Aplica correcciones respaldadas a la vía identificada y deja explícito lo que siga siendo sospecha o causa desconocida. Revisa las credenciales y sesiones afectadas después de proteger los accesos relevantes, con el titular de las cuentas responsable de los cambios acordados.
Paso 5 — Revisa a los vecinos
En hosting compartido, una instalación de WordPress infectada puede reinfectar a las demás de la misma cuenta. Escanea todas las webs de la cuenta, no solo la que notaste.
Lo que no se puede prometer
El cierre debe registrar cambios confirmados, evidencia conservada, rutas revisadas, corrección aplicada y comprobaciones realizadas. También debe identificar causas pendientes y límites de la observación. Si el malware reaparece o la web es crítica para el negocio, envía URL pública y síntoma para acotar la primera evaluación sin pedir credenciales.
Encargar una investigación de malware recurrente
Si los archivos o usuarios vuelven después de una limpieza, acuerda la investigación antes de comprar otra sustitución de archivos. El encargo debe identificar webs afectadas, intervenciones anteriores, momentos de recurrencia y registros disponibles de hosting, aplicación y despliegue.
- Registro de recurrencias con rutas o cuentas afectadas, horas y observaciones que las respaldan.
- Valor almacenado, callback, tarea o acceso respaldado por evidencia, manteniendo visibles las incógnitas.
- Corrección propuesta, función legítima que debe conservar y persona que puede aprobarla.
- Comprobaciones de aceptación, recuperación y periodo de observación acordados; se registran las rutas pendientes.
Limpiar datos, reparar callbacks y contener un problema del hosting pueden ser trabajos distintos. El presupuesto debe identificar responsables y dependencias de otros proveedores. Un intervalo sin recurrencia visible es una observación que registrar, no una prueba de inmunidad permanente.
regeneración de archivos desde datos almacenados · reinfección mediante tareas programadas
Envía URL pública, fecha de la limpieza anterior y momento en que volvió el síntoma. Describe la evidencia disponible; deja credenciales, exportaciones de clientes y copias de bases de datos fuera de la solicitud inicial. Solicitar una evaluación de reinfección.
RECUPERACIÓN WORDPRESS BASADA EN EVIDENCIA
Una limpieza que ataca la persistencia, no solo el síntoma
En limpieza de malware WordPress y prevención de reinfecciones, el síntoma visible puede estar lejos de la causa. eliminar la persistencia, cerrar vías de entrada demostrables y verificar el comportamiento que activó la alerta. Una web comprometida puede parecer normal mientras backdoors, tareas programadas o contenido inyectado en la base de datos mantienen el acceso abierto. Por eso la limpieza cubre archivos, base de datos, usuarios y persistencia a nivel de servidor, seguida de comprobaciones de que el comportamiento malicioso ya no se reproduce.
Qué comprobamos
- El recorrido completo, no solo la pantalla donde aparece el error
- Dependencias externas, registros y evidencias antes de cambiar configuración
- Administradores inesperados, archivos del núcleo modificados y subidas ejecutables
- Contenido inyectado en la base de datos, JavaScript, redirecciones y spam SEO
- Backdoors, tareas cron, reglas del servidor y accesos robados
- Páginas públicas, resultados de búsqueda, avisos de seguridad y respuesta del hosting
Qué significa un resultado verificado
El cierre documenta la causa encontrada, el cambio aplicado y las pruebas realizadas. El resultado debe ser observable y repetible, no una impresión de que “parece funcionar”.
ANTES DE LA EVALUACIÓN
Preguntas frecuentes sobre esta incidencia
¿Cómo se comprueba que el problema está realmente resuelto?+
Se reproduce el recorrido afectado, se revisan sus dependencias y se documenta la evidencia posterior al cambio.
¿La limpieza incluye la base de datos?+
Sí. Limpiar solo archivos puede dejar opciones, entradas, usuarios o tareas inyectadas, así que se revisan también las áreas relevantes de la base de datos.
¿Garantizáis que la web no volverá a ser hackeada?+
Ningún proveedor serio puede garantizarlo. El trabajo elimina el malware identificado, cierra las entradas evidenciadas y documenta los riesgos y la vigilancia pendientes.
¿Debo restaurar la copia más antigua?+
No automáticamente. Una copia puede estar ya infectada o hacerte perder datos valiosos. Primero conviene valorar su fecha, integridad e impacto.