`base64_decode`, `eval` o `gzinflate` son señales de investigación, no prueba automática de que un PHP sea malicioso. Hay software legítimo con código generado u ofuscado. Conserva el fichero, establece su procedencia y compáralo con una versión fiable antes de borrar.
Registra la identidad del fichero
Guarda ruta, propietario, permisos, fecha y hash criptográfico antes de tocarlo. Así conservas un artefacto estable aunque luego se reemplace.
Establece la procedencia esperada
Identifica qué plugin, tema, dependencia o deploy debería ser propietario de esa ruta. Compara la versión exacta con paquete o repositorio fiable. Conserva el hash del fichero legítimo de referencia para que la comparación sea reproducible y no dependa solo de una inspección visual.
Inspecciona transformaciones sin ejecutar
Lee cadenas codificadas como datos y decodifícalas en un contexto aislado; no ejecutes payload desconocido para “ver qué hace”. Busca carga remota, acceso a credenciales o escrituras inesperadas.
Rastrea cómo se carga el fichero
Un helper sospechoso nunca incluido no equivale a código ejecutado en cada request. Sigue includes, hooks y bootstrap para entender exposición.
Busca artefactos relacionados por evidencia
Usa strings distintivos, hashes, timestamps o rutas. No borres todo fichero que contenga una función PHP común.
Restaura desde fuente fiable y prueba
Si confirmas modificación maliciosa, sustituye el componente por una release conocida y valida funcionalidad y ausencia de los indicadores concretos.
Empieza por la revisión segura de PHP ofuscado y conserva artefactos con la guía de evidencias.