Como remover malware do WordPress e fechar a porta de entrada

Para remover malware do WordPress de verdade, não basta apagar os arquivos suspeitos: é preciso encontrar todos os pontos infectados (arquivos, banco de dados, usuários e tarefas agendadas), descobrir por onde o ataque entrou e fechar essa porta. Sem isso, o malware costuma voltar em poucos dias. O processo termina com senhas trocadas, tudo atualizado e o pedido de revisão ao Google, se o site foi marcado como perigoso.

Sinais de infecção

• O site redireciona visitantes para outros endereços, às vezes só no celular ou só para quem vem do Google.
• Aparecem no Google páginas que você não criou, em outros idiomas ou com produtos estranhos.
• O navegador ou o Google mostram aviso de site perigoso.
• A hospedagem suspendeu o site ou avisou sobre envio de spam.
• Surgiram usuários administradores desconhecidos.
• O site ficou lento sem motivo aparente.

Primeiras horas

Se o site acabou de ser invadido, siga o roteiro de o que fazer nas primeiras horas: backup do estado atual, troca de senhas e contato com a hospedagem.

Como é feita a limpeza

1. Cópia do estado atual para análise.
2. Varredura dos arquivos: comparação dos arquivos do WordPress, temas e plugins com as versões originais, busca por código ofuscado e arquivos fora do lugar.
3. Varredura do banco de dados: scripts injetados em posts, opções alteradas, usuários falsos.
4. Tarefas agendadas e arquivos de configuração, como o .htaccess, onde o malware costuma se esconder.
5. Reinstalação limpa do WordPress, dos plugins e do tema a partir de fontes oficiais.
6. Identificação da porta de entrada: plugin vulnerável, tema pirata, senha fraca, outro site na mesma conta de hospedagem.
7. Fechamento: atualizações, remoção do que não é usado, senhas novas, dois fatores, firewall.
8. Pedido de revisão no Google Search Console, se houver aviso.
9. Monitoramento nas semanas seguintes.

Portas de entrada mais comuns

Depois da limpeza

Siga o guia completo para blindar o WordPress e mantenha backups fora do servidor.

Perguntas frequentes

Um plugin de segurança remove o malware?

Ajuda a encontrar, mas muitas vezes não remove tudo nem descobre a porta de entrada.

Posso só restaurar um backup?

Se o backup for anterior à invasão e você fechar a porta de entrada, sim. Sem isso, a invasão volta.

Quanto tempo leva?

A limpeza costuma ser feita em um ou dois dias. A remoção do aviso do Google depende da revisão deles.

Seu site foi invadido?

A Webparatus limpa o WordPress, encontra a porta de entrada e deixa o site protegido. Veja os serviços de segurança e WordPress ou chame no WhatsApp agora.