Escanear y eliminar malware de una página web: guía completa
Eliminar el malware de tu web es una tarea urgente que no admite espera. Cada día que tu página web está infectada, tus visitantes corren riesgos y tu posición en Google baja. En esta guía completa aprenderás a eliminar el malware de tu web, a detectar una infección y qué pasos seguir para que tu web vuelva a estar limpia y segura. Tratamos tanto los métodos manuales como los automatizados para localizar y eliminar malware.
¿Qué es el malware de una página web y cómo se infecta tu web?
El malware de una página web es código malicioso que se coloca en tu web sin que lo sepas. Este código puede tener distintos objetivos: robar datos de los visitantes, difundir spam, redirigir el tráfico a otras webs o usar tu servidor para minar criptomonedas. Es crucial tratar la eliminación del malware de tu web como una prioridad en cuanto descubras una infección.
Métodos de infección más habituales
- Software desactualizado: WordPress, plugins o temas sin actualizar con vulnerabilidades conocidas
- Contraseñas débiles: ataques de fuerza bruta contra FTP, SSH o paneles de administración
- Plugins inseguros: plugins de fuentes poco fiables con puertas traseras
- Cross-site scripting (XSS): vulnerabilidades en formularios o campos de entrada
- Inyección SQL: ataques a consultas de bases de datos sin proteger
- Datos de FTP comprometidos: a través de malware en tu propio ordenador
La mayoría de las infecciones proceden de software desactualizado. Por eso, actualizar WordPress con regularidad es una de las medidas preventivas más importantes.
Síntomas: ¿cómo reconocer el malware en una página web?
Eliminar el malware de una web empieza por reconocer la infección. A veces el malware es claramente visible, pero a menudo actúa de forma invisible en segundo plano. Presta atención a estas señales de alerta:
Síntomas visibles
- Tu web muestra contenido desconocido, ventanas emergentes o anuncios
- Los visitantes son redirigidos a otras webs (a menudo dudosas)
- Google muestra una advertencia: "Este sitio puede dañar tu ordenador"
- Tu navegador bloquea tu web por considerarla insegura
- Tu web carga mucho más lento de lo normal
- Cuentas de usuario desconocidas en tu CMS
Síntomas ocultos
- Picos inexplicables en el uso del servidor (CPU, memoria)
- Archivos o carpetas desconocidos en tu servidor
- Archivos principales (core) de tu CMS modificados
- Entradas sospechosas en la base de datos
- Conexiones salientes inusuales desde tu servidor
- Correos de spam enviados a través de tu servidor
Escanear una página web en busca de malware: las mejores herramientas
Antes de poder eliminar el malware de tu web, tienes que localizar la infección. Hay varias herramientas disponibles para analizar tu página web en busca de malware:
| Herramienta | Tipo | Coste | Funcionalidad |
|---|---|---|---|
| Sucuri SiteCheck | Escáner online | Gratis | Análisis básico de malware, comprobación de listas negras |
| Wordfence (WordPress) | Plugin | Gratis/Premium | Análisis en profundidad, firewall, protección en tiempo real |
| MalCare | Plugin/SaaS | De pago | Detección y eliminación automáticas |
| VirusTotal | Escáner online | Gratis | Análisis de URL con varios motores |
| Google Search Console | Herramienta online | Gratis | Problemas de seguridad y avisos |
| Imunify360 | A nivel de servidor | De pago | Detección de malware en todo el servidor |
Eliminar el malware de una web: guía paso a paso
Ahora que sabes cómo detectar el malware, es hora de poner en práctica la eliminación del malware de tu web. Sigue estos pasos con cuidado y en el orden correcto:
Paso 1: haz una copia de seguridad antes de empezar
Antes de cambiar nada, haz una copia de seguridad completa de tu web, con los archivos y la base de datos. Aunque la copia de seguridad esté infectada, la necesitarás como referencia y por si tienes que deshacer cambios. Lee nuestra guía sobre cómo hacer una copia de seguridad de la web para más información.
Paso 2: pon tu web en modo de mantenimiento
Pon tu web en modo de mantenimiento o bloquea temporalmente todo el acceso. Así evitas que los visitantes queden expuestos al malware mientras tú estás limpiando. Puedes hacerlo mediante tu archivo .htaccess o con un plugin de mantenimiento.
Paso 3: cambia todas las contraseñas
Cambia de inmediato todas las contraseñas relacionadas con tu web. Esto incluye: las contraseñas de FTP/SFTP, las de las bases de datos, las de administrador del CMS, las del panel de control del hosting y las claves SSH. Usa contraseñas seguras y únicas para cada cuenta.
Paso 4: escanea e identifica los archivos infectados
Usa las herramientas mencionadas anteriormente para hacer un análisis a fondo. Presta especial atención a los archivos modificados recientemente, a los archivos de las carpetas de subida y a los archivos con nombres sospechosos. Comprueba también si hay archivos desconocidos en las carpetas del core de tu CMS.
Paso 5: elimina el malware
Hay dos enfoques para eliminar de verdad el malware de una web: manual o automático.
Eliminar el malware de una web manualmente
En la eliminación manual, descargas todos los archivos por FTP y los comparas con una instalación limpia de tu CMS. Elimina o sustituye todos los archivos que difieran del original. Busca en los archivos patrones de código sospechosos como:
- base64_decode: se usa a menudo para ocultar código malicioso
- eval(): ejecuta código arbitrario
- gzinflate: se usa para código malicioso comprimido
- preg_replace con el modificador /e: puede ejecutar código
- Etiquetas iframe desconocidas: cargan contenido externo
Eliminar el malware de una web automáticamente
Herramientas como Wordfence Premium y MalCare pueden detectar y eliminar malware automáticamente. Es más rápido y fiable que la eliminación manual, pero requiere una suscripción. Para las webs en WordPress, Wordfence es la opción más utilizada.
Paso 6: limpia la base de datos
El malware también puede estar en tu base de datos. Usa phpMyAdmin para buscar y eliminar las entradas sospechosas. Busca en concreto:
- Cuentas de administrador desconocidas
- Código JavaScript sospechoso en entradas o páginas
- Ajustes modificados de la URL del sitio o de la URL de administración
- Cron jobs o tareas programadas desconocidos
Paso 7: actualiza todo
Tras eliminar el malware, actualiza todo el software a la última versión: tu CMS, todos los plugins, los temas y los posibles frameworks. Elimina también todos los plugins y temas que no uses, ya que suponen una superficie de ataque innecesaria.
Paso 8: comprueba y recupera tu reputación
Si Google ha bloqueado tu web, solicita una revisión a través de Google Search Console. Comprueba también si tu dirección IP o tu dominio figuran en listas negras con herramientas como MXToolbox. Puede tardar unos días en desaparecer todas las advertencias.
Prevención: evita futuras infecciones de malware
Tras eliminar con éxito el malware de tu web, es esencial tomar medidas que eviten futuras infecciones. Prevenir es siempre mejor y más barato que curar.
Medidas técnicas
- Mantén siempre todo el software actualizado
- Usa un certificado SSL para tener conexiones cifradas
- Instala un firewall de aplicaciones web (WAF)
- Limita los permisos de los archivos al mínimo necesario
- Desactiva el listado de directorios
- Usa SFTP en lugar de FTP
- Implementa la autenticación de dos factores
Medidas operativas
- Haz copias de seguridad automáticas a diario
- Analiza tu web en busca de malware cada semana
- Vigila tu web para detectar actividad inusual
- Usa contraseñas seguras y únicas
- Forma a tus empleados en ciberseguridad
- Mantén un plan de respuesta a incidentes
Prevención de malware específica de WordPress
Como WordPress es el CMS más utilizado, merece una atención especial en cuanto a la prevención de malware. Estos son algunos consejos específicos de WordPress que ayudan a evitar infecciones:
- Descarga plugins y temas solo de wordpress.org o de fuentes fiables
- No uses nunca temas o plugins nulled (crackeados de forma ilegal)
- Limita el número de intentos de inicio de sesión con un plugin como Limit Login Attempts
- Cambia la URL predeterminada de wp-admin
- Protege wp-config.php con permisos de archivo adicionales
- Desactiva la edición de archivos en el panel de administración (DISALLOW_FILE_EDIT)
Lee también nuestra guía completa sobre el mantenimiento de WordPress para tener una visión completa de todas las medidas de seguridad y mantenimiento.
¿Cuándo recurrir a un profesional?
Aunque puedes eliminar tú mismo gran parte del malware, hay situaciones en las que es aconsejable recurrir a un experto en seguridad. Es el caso, sobre todo, de las infecciones complejas que reaparecen una y otra vez, cuando tu servidor se usa como parte de una botnet, en filtraciones que afecten a datos personales o si no tienes conocimientos técnicos suficientes para analizar archivos.
Los servicios profesionales de eliminación de malware cuestan entre 100 y 500 €, según la complejidad. Puede parecer mucho, pero el coste de una infección prolongada en términos de tráfico perdido, daño a la reputación y posibles multas suele ser mucho mayor.
Resumen y puntos de acción
Eliminar el malware de una web es un proceso que exige rigor y método. Siguiendo los pasos de esta guía, podrás limpiar con éxito la mayoría de las infecciones. Lo más importante es actuar con rapidez en cuanto descubras una infección, analizar a fondo todos los archivos y la base de datos, tomar medidas preventivas tras la limpieza y comprobar con regularidad que tu web sigue limpia. Con los conocimientos y las herramientas adecuados, podrás proteger tu web de forma eficaz contra el malware e intervenir rápidamente cuando haga falta.
Preguntas frecuentes sobre cómo eliminar el malware de una web
Al eliminar el malware de una web surgen muchas preguntas. A continuación respondemos a las más frecuentes para que vayas bien preparado.
¿Cuánto se tarda en eliminar el malware?
Eliminar el malware lleva una media de 1 a 4 horas, según la complejidad de la infección. El malware sencillo, como los scripts inyectados, puede eliminarse en menos de una hora. Las infecciones complejas con puertas traseras y archivos del core modificados pueden llevar un día entero. Las herramientas automáticas como Wordfence pueden acelerar el proceso de forma considerable, pero el control manual sigue siendo necesario para una limpieza a fondo.
¿Puedo evitar el malware solo con un plugin de seguridad?
Un plugin de seguridad es un primer paso importante, pero por sí solo no basta. Una prevención eficaz del malware requiere un enfoque en capas: actualizaciones de software periódicas, contraseñas seguras, un firewall, permisos de archivo limitados y copias de seguridad regulares. Considera un plugin de seguridad como parte de tu estrategia de seguridad global, no como la única medida.
¿Cómo sé si mi web ha sido hackeada?
Las señales más habituales son: archivos desconocidos en tu servidor, archivos del core modificados, administradores desconocidos en tu CMS, una caída repentina del tráfico de búsqueda, avisos de Google en Search Console y spam enviado desde tu servidor. Los análisis de malware periódicos ayudan a detectar las infecciones a tiempo, a menudo antes de que aparezcan síntomas visibles.
Tipos de malware que afectan a las páginas web
Para combatir el malware de forma eficaz, es útil conocer los distintos tipos que afectan a las páginas web. Las puertas traseras (backdoors) son puntos de acceso ocultos que los hackers dejan para volver más tarde, incluso después de que hayas limpiado la infección original. Los scripts de spam envían correos no deseados a través de tu servidor, lo que daña la reputación de tu IP. Los criptomineros usan la potencia de cálculo de tu servidor o de los navegadores de tus visitantes para generar criptomonedas. El malware de defacement sustituye el contenido de tu web por un mensaje propio. El spam SEO inyecta enlaces invisibles o redirecciones a webs dudosas para mejorar su posición en las búsquedas a costa de la autoridad de tu dominio. Reconocer el tipo de malware ayuda a elegir el método de eliminación adecuado y a aplicar medidas preventivas específicas.
Eliminar el malware de una web: investigación forense paso a paso
Antes de empezar a eliminar el malware de la web, es esencial una investigación forense a fondo. Esto no solo ayuda a limpiar, sino que también evita la reinfección. Empieza por identificar el tipo de malware y la vía de infección.
Tipos de malware habituales y sus características
| Tipo de malware | Síntomas | Riesgo | Dificultad de eliminación |
|---|---|---|---|
| Scripts de puerta trasera (backdoor) | Archivos PHP desconocidos, subidas extrañas | Acceso total al servidor | Media |
| Inyección de spam SEO | Enlaces ocultos, redirecciones a spam | Inclusión en listas negras de buscadores | Alta |
| Scripts de criptominería | Uso elevado de CPU, web lenta | Rendimiento y reputación | Baja |
| Páginas de phishing | Páginas de inicio de sesión falsas en subdirectorios | Responsabilidad legal | Baja |
| Inyección en la base de datos | Código malicioso en registros de la base de datos | Robo de datos | Muy alta |
Ante una infección, revisa siempre los logs de acceso del servidor. Busca solicitudes POST inusuales, subidas a directorios inesperados y solicitudes a archivos que no deberían existir. Con un análisis de logs específico encontrarás los patrones de ofuscación habituales que ocultan el malware en archivos aparentemente inocentes.
Escáneres de malware automáticos frente a control manual
Hay dos enfoques principales para detectar y eliminar el malware de una web: los escáneres automáticos y el control manual. Ambos tienen ventajas e inconvenientes que debes sopesar.
Los escáneres automáticos como Sucuri SiteCheck, VirusTotal y Wordfence analizan tu web en busca de firmas de malware conocidas. Son rápidos y eficaces contra las amenazas conocidas, pero a menudo no detectan el malware a medida ni las puertas traseras avanzadas escritas específicamente para tu web.
El control manual lleva más tiempo, pero es más exhaustivo. Compara los archivos con el código fuente original, revisa las tablas de la base de datos en busca de entradas sospechosas y analiza los archivos .htaccess en busca de redirecciones no autorizadas. Sobre todo en las webs hechas con WordPress, comparar los archivos del core con la versión oficial es un método eficaz.
- Descarga una copia limpia de WordPress, de tu tema y de tus plugins
- Compara los tamaños de archivo y los checksums con los originales
- Presta especial atención a los archivos wp-config.php, .htaccess e index.php
- Revisa la tabla wp_options en busca de entradas desconocidas
- Busca usuarios administradores desconocidos en la base de datos
Evitar la reinfección tras eliminar el malware
Eliminar el malware es solo la mitad del trabajo. Sin medidas estructurales, la reinfección es solo cuestión de tiempo. Sigue este plan de acción para mantener tu web limpia de forma permanente:
- Cambia todas las contraseñas: FTP, base de datos, cuentas de administrador, panel de control del hosting y claves SSH. Usa un gestor de contraseñas para tener combinaciones seguras y únicas.
- Actualiza todo: CMS, tema, plugins y software del servidor. El software desactualizado es la principal causa de las infecciones.
- Instala un firewall: un firewall para tu web bloquea el tráfico malicioso antes de que llegue a tu web.
- Activa la autenticación de dos factores: protege las cuentas de administrador con la autenticación de dos factores como capa de seguridad adicional.
- Configura la monitorización de archivos: herramientas como OSSEC o Wordfence te avisan de las modificaciones de archivos no autorizadas.
- Haz copias de seguridad periódicas: guarda al menos tres copias de seguridad recientes en una ubicación externa, separada de tu servidor web.
Considera también el uso de herramientas de monitorización de servidores para detectar a tiempo comportamientos anómalos. Un aumento repentino del uso de CPU o del tráfico saliente puede indicar una nueva infección. Los buenos plugins de seguridad para WordPress ofrecen monitorización en tiempo real y bloqueo automático de direcciones IP sospechosas.
Cuándo recurrir a ayuda profesional ante el malware
No todas las infecciones de malware puedes resolverlas tú mismo. En determinados casos es necesaria la ayuda profesional para evitar más daños. Recurre a un especialista cuando:
- El malware reaparece tras varios intentos de limpieza
- Tu web figura en la lista negra de Google Safe Browsing
- Hay indicios de que se han robado datos de clientes (obligación de notificación según el RGPD)
- La infección se ha extendido a varias webs del mismo servidor
- Ya no tienes acceso a tu propia cuenta de hosting
Los servicios profesionales de eliminación de malware cuestan de media entre 150 y 500 €, según la complejidad. Normalmente incluyen un análisis completo, la limpieza, el refuerzo de la seguridad (hardening) y la monitorización durante un periodo determinado. En un plan de hosting con seguridad gestionada, el proveedor suele encargarse de este tipo de problemas, lo que es una ventaja importante del hosting gestionado frente a las soluciones no gestionadas.
Eliminar el malware de una web: política de seguridad preventiva
El mejor momento para pensar en eliminar el malware de la web es antes de que sea necesario. Una política de seguridad preventiva reduce considerablemente el riesgo de infección y acelera la recuperación cuando, aun así, algo sale mal. Aplica estas medidas preventivas como procedimiento estándar en cada web que administres.
Define un calendario de seguridad que incluya las siguientes tareas periódicas: copias de seguridad automáticas diarias en una ubicación externa, análisis de malware semanales con un escáner fiable, revisión mensual de todas las cuentas de usuario y de sus permisos, cambio trimestral de todas las contraseñas de los sistemas críticos y pruebas de penetración semestrales para identificar vulnerabilidades antes de que las encuentren los atacantes.
Reduce la superficie de ataque eliminando los plugins y temas que no uses, no solo desactivándolos. Cada plugin adicional es una vulnerabilidad potencial. Aplica el principio de mínimo privilegio: da a los usuarios solo los permisos mínimos que necesitan para su trabajo. Un redactor no necesita permisos de administrador, y un autor invitado no necesita poder instalar plugins. Documenta quién tiene acceso a qué sistemas y revísalo con regularidad.
Costes de una infección de malware para las empresas
El coste real de una infección de malware va mucho más allá de los costes directos de limpieza. Cuando calculas el impacto completo, queda claro por qué la prevención siempre es más barata que la recuperación. Los costes directos incluyen los servicios profesionales de limpieza, la pérdida de ingresos durante el tiempo de inactividad y las posibles multas por una filtración de datos conforme al RGPD. Los costes indirectos suelen ser aún mayores: daño a la reputación ante los clientes y los buscadores, pérdida de posiciones en los buscadores tras ser incluido en la lista negra de Google y el tiempo perdido por el personal interno que participa en la recuperación. En las tiendas online se suma la pérdida de confianza de los clientes, que puede tardar meses en recuperarse. Por eso, invierte en prevención: un buen plan de hosting, actualizaciones periódicas y herramientas de seguridad profesionales cuestan una fracción de lo que cuesta un ataque que tiene éxito.
Lista de comprobación para eliminar el malware de una web
Usa esta lista de comprobación paso a paso cuando sospeches que tu web está infectada con malware. Trabajar de forma sistemática evita que te saltes pasos que luego podrían provocar una reinfección al eliminar el malware de la web.
- Haz una copia de seguridad completa del estado actual (infectado) para la investigación forense
- Cambia de inmediato todas las contraseñas de FTP, SSH y de bases de datos desde un dispositivo limpio
- Analiza todos los archivos con al menos dos escáneres de malware distintos
- Compara los archivos sospechosos con los archivos fuente originales de tu CMS y de tus plugins
- Revisa la base de datos en busca de entradas sospechosas, sobre todo en las tablas de usuarios y de opciones
- Elimina todo el malware detectado y sustituye los archivos afectados por versiones limpias
- Actualiza todo el software, incluidos el core del CMS, el tema, los plugins y el software del servidor
- Comprueba y restablece los permisos de los archivos a los valores correctos
- Presenta una solicitud de revisión a Google si tu web figura en la lista negra
- Monitoriza la web de forma intensiva durante al menos cuatro semanas tras la limpieza
Conserva los logs y la documentación del incidente durante al menos un año. Es valioso como referencia futura y puede ser necesario para fines legales o reclamaciones al seguro.
Fuentes y referencias
- WordPress.org: documentación oficial (wordpress.org)
- Wordfence: informe de seguridad de WordPress (wordfence.com)
- Sucuri: investigación sobre seguridad web (sucuri.net)
- Autoriteit Persoonsgegevens (la autoridad neerlandesa de protección de datos): información sobre el RGPD (autoriteitpersoonsgegevens.nl)
