Per rimuovere malware WordPress bisogna prima limitare i danni: isolare il sito, conservare log e copia forense, cambiare credenziali da un dispositivo sicuro e individuare il punto d’ingresso. La sola cancellazione di un file sospetto non basta, perché possono esistere backdoor, utenti nascosti, attività pianificate o modifiche al database. Nei casi complessi è consigliato l’intervento di un professionista.
Nota di aggiornamento: La pulizia di un sito compromesso è un’attività delicata: evita cancellazioni irreversibili senza backup e raccolta delle evidenze.
Guida per ripulire un Blog WordPress infetto da Malware – Può succedere che all’interno di un sito web siano presenti uno o più Virus / Malware.
Un Virus può infiltrarsi all’interno di un sito web a causa di diversi motivi:
- Installazione Plugin / Tema contenente codice malevolo
- Aggiornamento Plugin / Tema contenente codice malevolo
- Mancato aggiornamento all’ultima versione dei Plugin / Temi
- Mancato aggiornamento all’ultima versione del CMS
Un Virus o Malware non può propagarsi negli altri siti web su un nostro Server Condiviso perché utilizziamo CageFS della Cloudlinux, una tecnologia che permette di isolare ogni singolo Account:
Il problema principale causato dal Malware è legato allo Spam, in pratica dall’Account del sito web infettato vengono inviate automaticamente migliaia di emails Spam senza che l’utente se ne accorga.
A volte l’utente può accorgersi che sta succedendo qualcosa di insolito per i seguenti motivi:
- Il sito web è stato sospeso
- Il sito web viene segnato da Google come dannoso e pericoloso
- Ricezione continua di email d’errore che indicano che dalla casella di posta è partita una determinata mail che non è stata mai ricevuta dal destinatario.
Se è presente un Virus / Malware all’interno dell’account, il sito deve essere immediatamente sospeso perché risulta essere una minaccia vera e propria per il Server in quanto c’è il rischio che l’IP del server condiviso finisca in blacklist a causa dell’attività di Spam svolta dall’account, in questo caso tutti gli utenti residenti sullo stesso Server avranno problemi di posta fino a quando l’IP del Server non verrà rimosso dalla sospensione (Solitamente ci vogliono 2-3 giorni dalla richiesta agli organi competenti).
Ovviamente non possiamo permetterci di compromettere il funzionamento di un intero Server Condiviso a causa di un singolo Account ed è proprio per questo motivo che il sistema sospenderà automaticamente tutti gli Account degli utenti che effettueranno Spam.
Ripulire un sito web dai Virus non è semplice, ma in un modo o nell’altro il problema deve essere risolto.
Di seguito i passi da seguire per cercare di ripulire il sito web dai Virus / Malware:
Backup dei files e del database
E’ fondamentale effettuare periodicamente un Backup completo del proprio Sito Web; per effettuare questa operazione è possibile farla manualmente da cPanel oppure acquistare il servizio di Backup Automatico (Jet Backup).
In ogni caso è molto importante effettuare un Backup almeno ogni 2 giorni anche se sarebbe perfetto effettuarlo giornalmente, in questo modo, per ogni problema, potrai sempre ripristinare una copia di backup funzionante in un batter d’occhio.
Scansione Antivirus da cPanel
Effettua una scansione Antivirus da cPanel, se non visualizzi il programma Antivirus significa che non è incluso nel tuo piano Hosting, scopri come effettuare una scansione antivirus:
Scansione Antivirus sul Web
Prova ad effettuare una scansione Antivirus anche dai tools presenti sul Web, scopri come:
Scansione Antivirus dal Computer
Oltre alla scansione Antivirus effettuata da cPanel (nonostante il risultato), scarica un Backup completo del tuo sito web all’interno del tuo PC ed effettua una scansione con il programma Antivirus del tuo Computer.
Esamina i files del Backup
Oltre ad effettuare la scansione antivirus è necessario esaminare ogni singolo files del sito web, in particolar modo i files .php.
Se per esempio rilevi un file .php con un nome insolito ed all’interno dello stesso visualizzi un codice criptato composto da caratteri alfanumerici senza un ordine logico e senza un codice vero e proprio, significa che quel files è un Virus/Malware e deve essere immediatamente rimosso o comunque rinominato (esempio: da 1.php a 1.php-VIRUS), in questo modo l’estensione non sarà più .php e da quel files non potranno più partire le mails in Spam.
Oltre ad effettuare questo controllo è necessario visualizzare i seguenti files:
- File di configurazione
- File .htaccess
- Il contenuto della cartella WP-Content nel caso di WordPress
- Il Database
Cancella tutti i files e le cartelle dalla Public_html
Se effettuando le operazioni appena citate non riesci a risolvere il problema, prova a cancellare l’intero contenuto della cartella principale del sito web, la cartella Public_html (tranne la cartella cgi-bin).
Puoi effettuare questa operazione accedendo via FTP, scopri come:
Se possiedi un Hosting multidominio ed hai altri domini che puntano al tuo piano Hosting non devi cancellare tutte le cartelle ed i files presenti all’interno della cartella public_html perché altrimenti cancellerai anche il contenuto dei siti web che puntano al piano Hosting.
Cambia le password
Modifica le password al tuo Account cPanel (FTP), inoltre modifica anche la password a tutti i tuoi indirizzi mail, scopri come:
Reinstalla WordPress
Dopo aver cancellato tutti i files e le cartelle presenti all’interno della cartella Public_html, prova a reinstallare WordPress, scopri come:
Reinstalla i Plugin ed il tema
Installa nuovamente tutti i Plugin senza copiarli dal backup del sito web, effettua la stessa operazione per il tema.
Copia i files dal Backup
Accedi via ftp e copia tutte i files del sito web prelevandoli da un Backup completo; puoi copiare e sostituire direttamente la cartella dei files presente all’interno della cartella wp-content.
Scansione Antivirus dal Computer
Effettua nuovamente una scansione Antivirus dal tuo Computer per vedere se sono presenti ancora Virus o Malware.
Plugin per la sicurezza
Il team di Xlogic ti consiglia di installare solo ed esclusivamente i Plugin dalla Directory ufficiale di WordPress e soprattutto di tenere solamente quelli che servono davvero, tutti gli altri non li installare o comunque cancellali.
Stessa cosa per i temi, mantieni attivo solamente il tema che stai utilizzando.
Richiesta di riconsiderazione a Google
Se il tuo sito web viene considerato da Google come dannoso o pericoloso è necessario effettuare una richiesta di riconsiderazione dopo aver risolto il problema.
Per effettuare questa operazione puoi seguire questa guida:
Se non sei riuscito a risolvere il problema…
Se non sei riuscito a risolvere il problema puoi:
- Contattare un Webmaster che ti risolva il problema
Oppure
- Attivare il servizio annuale di Imunify Security offerto da Xlogic
Scopri che cos’è Imunify Security!
Sospensione Account
Se il tuo Account verrà sospeso dovrai aprire un ticket all’assistenza richiedendo la rimozione della sospensione, dopo di che i nostri tecnici rimuoveranno l’account dalla sospensione e potrai effettuare tutte le verifiche del caso.
Il sistema sospenderà nuovamente in maniera automatica il sito web se da esso partono le emails Spam, in questo caso i nostri tecnici toglieranno nuovamente dalla sospensione l’Account ma dovrai risolvere definitivamente il problema anche perché stai mettendo a rischio la sicurezza dell’intero Server.
Nel caso l’account venisse nuovamente sospeso, i nostri tecnici potranno effettuare le seguenti operazioni:
- Mantenere sospeso l’account
- Resettare interamente l’account cancellando tutti i files
oppure
- Cambiare i permessi dei files e delle cartelle in maniera tale da bloccare il Virus, in questo modo il tuo sito non sarà visibile ma comunque potrai continuare a lavorare per risolvere definitivamente il problema
Approfondimenti correlati
- Come proteggere un sito WordPress: guida completa
- Attacchi supply chain WordPress: rischi e prevenzione
Fonte ufficiale: WordPress: il sito è stato compromesso.
Domande frequenti
È sufficiente reinstallare WordPress?
No. La reinstallazione del core non rimuove necessariamente file malevoli in plugin, temi, upload, database o account compromessi.
Quando conviene ripristinare un backup?
Solo quando il backup è precedente alla compromissione e viene verificato. Dopo il ripristino bisogna correggere la vulnerabilità che ha causato l’incidente.
Quali password devono essere cambiate?
Account WordPress, hosting, FTP/SFTP, database, email amministrative, API e servizi collegati. Le nuove password vanno impostate da un dispositivo affidabile.
