Eliminar malware persistente WordPress significa fechar as portas de reentrada antes de limpar os arquivos infectados. A reinfecção acontece porque a limpeza atacou o sintoma, não a causa: quando você apaga só os arquivos visíveis e deixa o backdoor ativo, o agendamento do wp-cron reescreve o código malicioso na primeira visita ao site. O processo é diferente de remover um vírus comum, porque aqui o alvo são os vetores escondidos (usuário admin fantasma, senha de FTP comprometida, plugin nulled) antes de tocar nos arquivos. Este tutorial mostra os 6 passos na ordem certa, com as ferramentas reais que a gente vê funcionar no suporte da FULL, parte do nosso guia de segurança para WordPress.

Diagnóstico rápido: Por que o malware persistente volta

Eliminar malware persistente WordPress falha quando o invasor deixou três mecanismos de reentrada e a limpeza removeu só um. O backdoor médio se esconde em mais de um arquivo: um payload visível em functions.php e uma cópia ofuscada dentro de wp-content/uploads. Apagar o primeiro sem o segundo devolve o problema na próxima execução do wp-cron, em menos de 60 minutos.

A diferença entre uma limpeza definitiva e uma temporária está em tratar o malware como um sistema, não como um arquivo solto. Quem entende essa lógica resolve de primeira.

Passo a passo: Como eliminar malware persistente WordPress

Eliminar malware persistente WordPress leva de 2 a 6 horas em um site de porte médio, conforme o número de vetores de reentrada plantados. A sequência abaixo segue a ordem que reduz o risco de reinfecção: primeiro isolar, depois mapear, e só então limpar. Pular o isolamento é o erro mais comum, como detalhamos em por que o malware volta mesmo após ser removido.

Passo 1: Isole o site e troque todas as credenciais

Coloque o site em modo de manutenção e troque imediatamente as senhas de admin do WordPress, do painel da hospedagem, do FTP/SFTP e do banco de dados MySQL. O invasor que mantém uma senha de SFTP válida reentra em segundos, mesmo depois de você reinstalar todos os plugins. Revogue também as chaves de aplicação em Usuários, e force logout de todas as sessões ativas.

Passo 2: Faça um backup forense antes de limpar

Antes de apagar qualquer coisa, gere um backup completo dos arquivos e do banco de dados, que é a sua evidência e o seu ponto de retorno. Use o UpdraftPlus ou o snapshot da hospedagem e guarde fora do servidor. Esse backup seguro antes e depois da limpeza de malware permite comparar versões e identificar quais arquivos foram modificados na data do ataque.

Passo 3: Escaneie com duas ferramentas independentes

Rode dois scanners diferentes para reduzir falso-negativo: o Wordfence varre arquivos do servidor e o Sucuri SiteCheck analisa o site pelo lado externo. Um scanner sozinho deixa passar o backdoor ofuscado em base64; dois cruzam o resultado. O MalCare costuma detectar payloads que o scan padrão ignora porque compara seu código com uma base de assinaturas atualizada.

Passo 4: Remova o backdoor e o cron job malicioso

Aqui está o coração da operação: localize o agendamento malicioso no wp-cron e remova-o antes de apagar o arquivo de backdoor. Use o WP-CLI com wp cron event list para listar tarefas suspeitas, ou inspecione a tabela wp_options em busca de funções agendadas com nomes ofuscados. Se você apagar o arquivo primeiro, o cron renasce o backdoor em minutos, e a faxina volta à estaca zero. Limpe também os arquivos infectados no wp-content com nomes aleatórios e extensões duplas como .php.jpg.

Passo 5: Reinstale o núcleo e substitua plugins nulled

Substitua os arquivos do núcleo do WordPress por uma cópia limpa baixada do WordPress.org, preservando só o wp-config.php revisado e a pasta wp-content. Qualquer plugin ou tema nulled (pirata) precisa ser apagado e reinstalado pela fonte oficial, porque o payload costuma vir embutido. Plugin nulled é a porta de entrada número um que a gente vê voltar nos tickets.

Passo 6: Confirme a limpeza e monitore por 14 dias

Após a limpeza, rode um novo scan completo e confirme zero detecções em três varreduras seguidas ao longo de 14 dias. O malware persistente costuma ter um gatilho temporal: ele fica dormente e reaparece dias depois, quando você já baixou a guarda. Ative o monitoramento de integridade de arquivos do Wordfence para receber alerta na primeira alteração não autorizada e fechar a janela de reinfecção antes que o invasor reinstale o backdoor.

Ferramentas para eliminar malware persistente WordPress

Quatro ferramentas resolvem a grande maioria dos casos quando o objetivo é eliminar malware persistente WordPress de forma definitiva, cada uma cobrindo uma camada diferente. O Wordfence atua no servidor, o Sucuri SiteCheck audita pelo navegador, o MalCare automatiza a remoção e o WPScan mapeia qual vulnerabilidade abriu a porta. Usar só uma deixa lacunas; combinar as quatro fecha o ciclo de detecção, remoção e prevenção.

A escolha de qual usar para eliminar malware persistente WordPress depende do seu nível técnico. O MalCare faz remoção com um clique e é indicado para quem não quer mexer em arquivo via SSH. O Wordfence dá controle granular e firewall na borda. O Sucuri SiteCheck é gratuito e serve como segunda opinião externa. O WPScan, mantido pela Automattic, cruza seu site com a base de CVEs do WordPress e mostra qual plugin desatualizado foi o vetor, informação que nenhum scanner de arquivo entrega sozinho.

Como impedir que o malware volte de vez

Impedir a reinfecção é a outra metade de eliminar malware persistente WordPress, e exige hardening em três frentes: atualização automática, firewall ativo e menor privilégio. A atualização automática de plugins e núcleo corta a maior parte da superfície de ataque, já que cerca de 35% das vulnerabilidades divulgadas em 2024 seguiram sem correção, segundo o Wordfence. O hardening de segurança no WordPress trava as portas de retorno do invasor.

Configure um firewall WordPress na borda para bloquear o tráfego malicioso antes de chegar ao PHP, ative a autenticação em duas etapas e desabilite a edição de arquivos pelo painel com define('DISALLOW_FILE_EDIT', true); no wp-config.php. Depois, siga o protocolo de manter o WordPress seguro após limpeza completa de malware para não repetir o ciclo. O plugin All in One Security automatiza boa parte desse hardening sem exigir código.

Legenda: três varreduras seguidas sem detecção confirmam que o backdoor foi de fato eliminado, não apenas escondido.

Escaneie seu WordPress antes que o malware volte

Para eliminar malware persistente WordPress de vez, o último passo é o que mais gente pula: validar que nenhuma vulnerabilidade conhecida continua aberta. A FULL é uma CVE Numbering Authority (CNA) reconhecida pela CISA desde maio de 2022, e a gente vê no suporte que a maioria dos sites reinfectados nunca passou por um scan de vulnerabilidade depois da limpeza. No plano PRO da FULL, por R$849 você conecta vários sites e divide o custo, cerca de R$85 por site, com o All in One Security, firewall e monitoramento incluídos. Para ativar a proteção completa e parar de apagar o mesmo malware toda semana, conheça os planos da FULL. Você também pode rodar um diagnóstico gratuito e sem instalação no FULL Scan.

Perguntas frequentes sobre eliminar malware persistente

Próximos passos para blindar seu site após a limpeza

Eliminar malware persistente WordPress termina quando o ciclo de reinfecção é fechado, não quando o último arquivo some. Eliminar malware persistente WordPress de forma definitiva é, no fundo, uma disciplina de processo. A ordem importa mais que a ferramenta: isole, faça backup forense, escaneie com duas ferramentas, corte o backdoor e o cron, reinstale o núcleo e monitore por 14 dias. O malware persistente é um problema de sistema, e cada porta deixada aberta é um convite para o invasor voltar. Se o seu caso é mais simples, o tutorial de como remover malware do WordPress em apenas 5 passos cobre o básico. Para continuar aprendendo, o FULL Academy reúne os tutoriais, guias e checklists de segurança em um só lugar.