Localizar malware en functions php sin romper la web

Si necesitas localizar malware en functions.php sin romper la web, conviene empezar por un método prudente: revisar copias recientes, comparar el archivo con una versión limpia, detectar funciones ofuscadas o inserciones anómalas y limpiar primero en un entorno de staging antes de tocar producción.

La idea clave es sencilla: no borrar código “raro” a ciegas. El archivo functions.php puede contener lógica legítima del tema, snippets personalizados y llamadas complejas que no son maliciosas por sí solas. Para reducir el riesgo, conviene trabajar con copia de seguridad completa, acceso por SFTP o SSH si lo tienes, ver cambios recientes y comprobar después que la web sigue funcionando.

El proceso más seguro suele ser este: crear backup, clonar a staging, comparar functions.php con una versión previa o limpia, revisar patrones sospechosos, eliminar solo lo que puedas justificar y probar la web antes de publicar cambios. Un escáner ayuda, pero no sustituye la revisión manual ni la validación posterior.

Qué hace functions.php y por qué suele ser objetivo de malware

El archivo functions del tema carga funciones propias del tema activo en WordPress. Puede registrar menús, scripts, imágenes destacadas, hooks, filtros y personalizaciones. Como se ejecuta dentro del flujo normal del sitio, es un punto atractivo para ocultar código sospechoso en WordPress.

Si hay un hackeo WordPress, el atacante puede intentar insertar ahí una redirección, una puerta trasera, una llamada remota o una carga adicional desde otra ruta. No siempre será el único archivo afectado, pero sí uno de los lugares que conviene revisar por prioridad.

También hay que recordar algo importante: en muchos sitios functions.php ya contiene fragmentos añadidos a lo largo del tiempo por desarrolladores, plugins desinstalados o personalizaciones antiguas. Por eso el contexto importa más que la apariencia aislada de una función.

Cómo preparar la revisión sin poner en riesgo la web

Haz copia de seguridad antes de tocar nada

Antes de revisar functions.php, conviene guardar una copia completa de archivos y base de datos. Si la web ya está comprometida, ese backup puede contener el problema, pero sigue siendo útil como punto de restauración y para analizar diferencias. Si tu hosting ofrece instantáneas o snapshots, mejor todavía.

Trabaja en staging siempre que sea posible

La limpieza directa en producción aumenta el riesgo de pantalla blanca, errores fatales o pérdida de funciones del tema. Lo razonable es clonar el sitio a un entorno de staging y probar allí cada cambio. Si no tienes staging, al menos descarga el archivo y edítalo localmente con una copia intacta guardada aparte.

Usa acceso fiable: SFTP, SSH o control de versiones

Si tienes acceso por SFTP o SSH, es preferible a editar desde el panel cuando la instalación puede estar comprometida. También conviene revisar si existe control de versiones: un diff entre el archivo actual y una versión anterior ayuda mucho a localizar inserciones recientes. Si el tema procede de un repositorio o de un desarrollador fiable, comparar con la copia original puede ahorrar tiempo.

Documenta el estado inicial

• Fecha y hora de los síntomas.
• Tema activo y tema hijo si existe.
• Plugins instalados o actualizados recientemente.
• Cambios en usuarios, tareas programadas y archivos.
• Logs del servidor, si puedes consultarlos.

Ese contexto ayuda a no confundir personalizaciones antiguas con una inserción maliciosa reciente.

Señales habituales de malware en functions.php

No existe una firma única para detectar malware en functions.php, pero sí hay patrones que merecen revisión. Lo importante es valorar la combinación de señales, no una sola función aislada.

Algunos ejemplos de contexto ambiguo: una función para comprimir datos o decodificar una cadena puede ser legítima en un plugin concreto; una llamada remota puede pertenecer a una API necesaria; y una inclusión de archivos puede formar parte de una arquitectura modular del tema. Lo sospechoso es la combinación de ofuscación, opacidad y ausencia de explicación funcional clara.

También es mala señal encontrar comentarios extraños, nombres de funciones pseudoaleatorios, cambios recientes sin autor conocido o bloques añadidos al principio o al final del archivo fuera del estilo habitual del tema.

Métodos fiables para revisar functions.php y detectar código sospechoso

1. Comparar con una versión limpia o anterior

Es uno de los métodos más útiles. Si el tema es conocido y conservas su versión original, compara el archivo functions del tema actual con la copia limpia. Si usas un tema hijo, compara también con cambios documentados del proyecto. Un diff te mostrará líneas añadidas, borradas o modificadas.

2. Revisar cambios recientes y fechas de modificación

Si detectas que functions.php cambió fuera de una actualización o intervención planificada, ese dato ya orienta mucho. Conviene comprobar quién subió archivos, qué plugins se instalaron y si hay otros ficheros alterados en el mismo periodo.

3. Buscar patrones sospechosos sin ejecutar nada

Haz búsquedas de texto por funciones y patrones problemáticos, pero sin intentar “desofuscar” código directamente en producción. Busca combinaciones como ejecución dinámica, cadenas codificadas, inclusiones de archivos en rutas poco habituales, variables con nombres aleatorios o llamadas remotas que no reconozcas. Esto no confirma por sí solo una infección, pero ayuda a priorizar la revisión.

4. Apoyarte en escáneres e integridad de archivos

Un escáner puede detectar firmas, cambios de integridad o patrones de ofuscación. Su alcance, eso sí, es limitado: puede dar falsos positivos o no detectar una puerta trasera discreta. Por eso conviene combinarlo con revisión manual del archivo, comprobación del tema activo, plugins y estado general de la instalación.

5. Revisar otros puntos donde suele esconderse la persistencia

Aunque el foco aquí sea malware en functions.php, conviene revisar también mu-plugins, wp-config.php, directorios de uploads, archivos PHP sueltos en rutas no esperadas y tareas programadas. Si solo borras una línea del tema y queda una puerta trasera en otro punto, la reinfección es bastante probable.

Cómo limpiar malware en WordPress sin romper el tema ni la web

Para limpiar malware WordPress sin causar más daño, conviene actuar de forma selectiva y reversible. La prioridad no es borrar deprisa, sino eliminar código malicioso manteniendo la funcionalidad del sitio y cerrando la vía de entrada si existió compromiso.

Paso 1. Guarda una copia del archivo exacto que vas a tocar

Antes de editar, duplica el functions.php actual. Si al limpiar aparece un error fatal, tendrás una referencia exacta para recuperar el estado previo y rehacer el proceso con más control.

Paso 2. Elimina solo bloques claramente injustificados

Si una inserción no estaba en la versión limpia, está ofuscada, llama a rutas extrañas o ejecuta lógica sin relación con el tema, puede ser razonable retirarla en staging. Si el código es complejo pero plausible, primero conviene investigar su origen. No des por malicioso cualquier fragmento avanzado.

Paso 3. Sustituye por una copia válida si el archivo está muy contaminado

Cuando el archivo contiene múltiples inserciones o no puedes validar su integridad, a veces es más seguro restaurar una versión conocida y limpia del tema o del tema hijo, y luego reintroducir las personalizaciones legítimas una a una. Según el caso, esto reduce errores y acelera la desinfección web.

Paso 4. Prueba después de cada cambio

• Carga la portada y varias páginas internas.
• Comprueba formularios, buscador, menús y widgets.
• Revisa el área de administración de WordPress.
• Verifica que no aparezcan errores PHP ni redirecciones extrañas.

Este punto es esencial porque borrar una función necesaria del tema puede provocar desde fallos menores hasta una caída completa del sitio.

Paso 5. Revisa logs y realiza un escaneo posterior

Tras la limpieza, consulta logs del servidor o de PHP si tienes acceso. Después, pasa un escáner de integridad o malware para identificar restos o reinyecciones. No es garantía absoluta, pero ayuda a validar que el cambio no ha dejado trazas obvias.

Paso 6. Cambia credenciales si hubo indicios de compromiso

Si la web ya estaba comprometida, conviene cambiar contraseñas de WordPress, hosting, SFTP/SSH, base de datos y cuentas relacionadas, además de revisar usuarios administradores. La seguridad WordPress no termina al borrar código: hay que cortar el acceso que permitió la modificación.

Qué comprobar después de la limpieza para evitar reinfecciones

Verifica la integridad general de la instalación

Comprueba núcleo, tema activo, tema hijo y plugins. Busca archivos PHP donde no deberían existir, especialmente en uploads, carpetas temporales o rutas de caché. Una infección en functions.php puede ser solo la parte visible.

Revisa tareas programadas, usuarios y ajustes sensibles

Conviene revisar cron, cuentas de usuario nuevas, cambios en opciones del sitio, redirecciones y snippets añadidos por plugins de cabeceras o código personalizado. A veces la persistencia no está en el tema, sino en configuraciones o plugins secundarios.

Actualiza y endurece

Mantén WordPress, plugins y temas actualizados, elimina lo que no uses y revisa permisos de archivos. Si el vector de entrada fue un plugin vulnerable, una contraseña filtrada o un acceso abandonado, la desinfección quedará incompleta si no corriges eso. La seguridad sitios web depende tanto de la limpieza como de la prevención de reinfecciones.

Comprueba el comportamiento real de la web

Además del escaneo, prueba el sitio como lo haría un usuario: navegación, formularios, carrito si existe, envío de correos, sesiones y rendimiento. A veces el archivo queda limpio, pero una función del tema se rompe o un comportamiento malicioso persiste en otro punto.

Fuentes oficiales o técnicas de referencia

• WordPress Developer Resources: custom functionality y uso adecuado del tema frente a lógica personalizada

Resumen y siguiente paso razonable

Localizar malware en functions.php con el menor riesgo posible pasa por un enfoque ordenado: backup completo, análisis en staging, comparación con una copia limpia, revisión manual de patrones sospechosos, limpieza selectiva y comprobación posterior de integridad y funcionamiento.

La cautela principal es esta: borrar código sin validar su contexto puede romper el tema, pero limpiar solo ese archivo sin investigar el vector de entrada puede dejar la web expuesta a una reinfección. Por eso conviene revisar también plugins, mu-plugins, wp-config.php, tareas programadas y archivos fuera de lugar.

Si no puedes confirmar con seguridad qué parte del archivo es legítima y cuál no, el siguiente paso más razonable es solicitar una auditoría o una limpieza profesional con revisión de integridad, credenciales y persistencia. En una incidencia real, esa validación suele ahorrar tiempo y reduce errores evitables.