Limpiar malware que crea archivos en uploads WordPress

Qué significa que aparezcan archivos maliciosos en uploads de WordPress

Cuando se detectan archivos maliciosos en WordPress dentro de uploads, lo razonable es pensar en una vía de entrada previa: un plugin vulnerable, credenciales comprometidas, permisos inseguros o una puerta trasera ya instalada. Ese directorio suele contener imágenes, documentos, vídeos y miniaturas generadas por WordPress o por plugins legítimos. Encontrar ahí ficheros ejecutables, código ofuscado o archivos que no corresponden con subidas reales es un indicador técnico de compromiso.

Además, uploads se usa con frecuencia por atacantes porque es una ruta con mucho movimiento y, en algunos entornos, con controles insuficientes. Por eso, borrar solo lo visible puede eliminar el síntoma, pero no el vector de entrada ni la persistencia del malware.

Cómo detectar si el malware sigue activo

Hay varias señales que ayudan a valorar si la infección sigue operativa. Ninguna por sí sola confirma todo el alcance, pero juntas ofrecen una imagen bastante fiable:

• Archivos nuevos en uploads con nombres aleatorios o extensiones impropias para una biblioteca de medios.
• Fechas de creación o modificación recurrentes, especialmente después de haber limpiado o restaurado.
• Reaparición de ficheros sospechosos tras borrarlos.
• Cambios no esperados en .htaccess u otros archivos de configuración.
• Usuarios administradores no reconocidos o cambios en cuentas existentes.
• Plugins o temas alterados respecto a sus versiones limpias.
• Tareas programadas sospechosas, redirecciones extrañas o código ofuscado.

También conviene revisar registros del hosting y comparar el comportamiento actual con copias previas conocidas como buenas. Si el sitio vuelve a generar archivos maliciosos, hablamos normalmente de reinfección WordPress o de una puerta trasera aún activa.

Pasos para limpiar malware que crea archivos en uploads WordPress

1. Haz una copia completa antes de tocar nada. Si es posible, guarda también el estado infectado para análisis. Esto permite revisar el incidente con calma y facilita una recuperación si algo falla.
2. Valora poner el sitio en mantenimiento. No siempre es imprescindible, pero puede ser recomendable si hay redirecciones, spam visible o riesgo para usuarios.
3. Revisa uploads y otras rutas afectadas. No te limites al directorio visible. Si hay malware en uploads, conviene inspeccionar también plugins, temas, archivos del núcleo y zonas donde pueda ocultarse código persistente.
4. Compara núcleo, plugins y temas con versiones limpias. Una revisión de integridad ayuda a detectar archivos añadidos o modificados. En muchos casos, limpiar WordPress hackeado pasa por reinstalar componentes fiables desde origen legítimo.
5. Elimina puertas traseras y código persistente si se identifican. Este punto es crítico: si solo borras los archivos de uploads pero dejas el acceso oculto, el malware puede volver a crearlos.
6. Actualiza WordPress, temas, plugins y PHP si procede. El objetivo es cerrar vulnerabilidades conocidas y reducir el riesgo de reutilización del mismo vector de entrada.
7. Cambia contraseñas y revisa usuarios. Deben incluirse accesos de administración, hosting, FTP o paneles relacionados. Además, revisa que no existan administradores no autorizados.
8. Escanea de nuevo y monitoriza. Tras la limpieza, conviene confirmar que no reaparecen archivos sospechosos ni indicadores de actividad maliciosa.

La documentación oficial de WordPress sobre sitios comprometidos puede servir como referencia general, aunque el alcance real depende de cada infección y de cómo esté montado el servidor.

Qué revisar después de la limpieza para evitar una reinfección

Una vez eliminados los archivos sospechosos, toca endurecer la instalación. Lo básico es verificar permisos correctos, mantener actualizados los componentes y revisar si el hosting ofrece WAF o firewall de aplicación. En ciertos entornos, también puede ser adecuado restringir la ejecución en rutas sensibles como uploads, siempre que la configuración del sitio lo permita sin romper funcionalidades legítimas.

Además, es recomendable activar monitorización de cambios, revisar copias de seguridad restaurables y mantener una rutina de mantenimiento continuo. La seguridad WordPress no se resuelve con una única limpieza: requiere control de integridad, visibilidad sobre cambios y seguimiento del comportamiento posterior.

Cuándo conviene pedir ayuda profesional

Conviene escalar el caso si los archivos vuelven a aparecer, si no está claro el vector de entrada, si hay impacto en SEO, caídas, envío de spam, bloqueos del hosting o dudas sobre la integridad de plugins, temas o base de datos. También si no puedes determinar si el malware sigue activo o si afecta a varias instalaciones del mismo servidor.

En estos casos, una revisión técnica completa suele ser más útil que seguir borrando síntomas. Si el malware vuelve a crear archivos en uploads, el problema acostumbra a estar en el acceso comprometido, en una vulnerabilidad sin corregir o en una persistencia oculta. Revisar el origen de la infección es la parte que realmente reduce el riesgo de reinfección y de daños posteriores.

Si tienes dudas sobre la limpieza, el sitio ya se ha reinfectado o el incidente está afectando al negocio, el siguiente paso razonable es solicitar una revisión técnica integral para confirmar qué ha entrado, por dónde y qué medidas conviene aplicar para estabilizar la web.