Como remover malware do WordPress e evitar nova infecção

Para remover um malware do WordPress, o que muita gente chama de vírus no site, siga esta ordem: guarde uma cópia do estado atual, troque todas as senhas, apague usuários desconhecidos, reinstale o núcleo, limpe plugins, temas e a pasta de uploads, revise o banco de dados e só então peça a revisão ao Google.

A ordem importa. Limpar arquivos sem trocar as senhas e sem atualizar os plugins deixa aberta a porta por onde o ataque entrou, e o site volta a ser infectado.

Sinais de que o site foi infectado

• Visitantes são redirecionados para sites de apostas, farmácias ou golpes, às vezes só no celular ou só vindo do Google.
• O Google mostra o aviso de site perigoso ou o Search Console aponta problemas de segurança.
• Aparecem páginas, posts ou usuários administradores que ninguém criou.
• O resultado da busca mostra títulos em outro idioma ou com palavras de spam.
• A hospedagem avisa sobre arquivos maliciosos ou envio anormal de e-mails.

1. Guarde uma cópia e anote o que vê

Faça um backup completo do estado atual (arquivos e banco), mesmo infectado. Ele serve para comparar arquivos e recuperar conteúdo se algo der errado na limpeza. Anote a data em que os sintomas começaram: ajuda a achar arquivos alterados naquele período.

2. Troque todas as senhas

Troque as senhas dos administradores do WordPress, do painel da hospedagem, das contas FTP e do usuário do banco de dados (atualize o wp-config.php com a nova). Gere também chaves de segurança novas no wp-config.php (as constantes AUTH_KEY e similares), o que encerra todas as sessões abertas.

3. Remova usuários desconhecidos

Em Usuários, apague qualquer conta que você não reconheça, principalmente com a função de administrador.

4. Reinstale o núcleo do WordPress

Com acesso SSH e WP-CLI, descubra antes quais arquivos foram alterados. Os comandos abaixo comparam cada arquivo com as somas de verificação publicadas pelo WordPress.org:

wp core verify-checksums --include-root
wp plugin verify-checksums --all

Depois, substitua as pastas wp-admin e wp-includes e os arquivos da raiz por cópias novas da mesma versão, baixadas de wordpress.org. Mantenha o wp-config.php e a pasta wp-content, mas revise os dois.

5. Limpe plugins e temas

• Apague plugins e temas que você não usa: são porta de entrada comum.
• Reinstale os que ficam a partir de fontes oficiais, nunca de versões "nulled" (pirateadas), que muitas vezes já vêm infectadas.
• Procure arquivos .php dentro de wp-content/uploads: essa pasta deveria guardar só imagens e documentos.

find wp-content/uploads -type f -name '*.php'

6. Revise o banco de dados

Malware também se esconde no banco. Confira em wp_options os campos siteurl e home e procure scripts injetados em posts e widgets (trechos com <script>, eval ou base64 em conteúdo que não deveria ter código).

7. Verifique com um scanner e peça revisão ao Google

Rode novamente um scanner de malware. Na hospedagem da Hospedagem Segura, o Imunify360 analisa os arquivos da conta. Se o Google marcou o site, depois da limpeza peça a revisão em Problemas de segurança, no Search Console.

Como evitar nova infecção

• Mantenha WordPress, plugins e temas atualizados.
• Use senhas fortes e únicas e ative a verificação em duas etapas para administradores.
• Instale poucos plugins, de autores com atualização recente.
• Tenha backups com cópias de dias diferentes, para poder voltar a um ponto anterior à infecção.
• Dê a cada pessoa o menor nível de acesso de que ela precisa.

Perguntas frequentes

Como saber se o meu WordPress está com vírus?

Os sinais mais comuns são redirecionamentos para sites estranhos, aviso de site perigoso no Google, páginas ou administradores que ninguém criou e alertas da hospedagem sobre arquivos maliciosos. Os comandos de verificação do WP-CLI e o scanner da hospedagem confirmam quais arquivos foram alterados.

Reinstalar o WordPress remove o malware?

Só em parte. A reinstalação troca os arquivos do núcleo, mas o código malicioso costuma ficar também em plugins, temas, na pasta de uploads e no banco de dados. Por isso a limpeza precisa passar por todas essas partes e pela troca das senhas.

Por que o site foi infectado de novo depois da limpeza?

Porque a porta de entrada continua aberta: um plugin desatualizado, uma senha que vazou ou um arquivo malicioso que ficou para trás. Atualize tudo, troque todas as senhas e, se a infecção voltar em poucos dias, restaure um backup anterior a ela.