{"id":15808,"date":"2020-03-13T13:26:30","date_gmt":"2020-03-13T12:26:30","guid":{"rendered":"https:\/\/xlogic.org\/blog\/?p=15808"},"modified":"2026-08-01T14:25:30","modified_gmt":"2026-08-01T12:25:30","slug":"analisi-sui-virus-wordpress-imunify-security","status":"publish","type":"post","link":"https:\/\/xlogic.org\/blog\/analisi-sui-virus-wordpress-imunify-security.html\/","title":{"rendered":"Scansione malware WordPress con Imunify Security"},"content":{"rendered":"

<\/p>\n

\n

La scansione malware WordPress identifica file sospetti confrontando firme, comportamento e anomalie.<\/strong> Una rilevazione deve essere verificata prima di cancellare file: occorrono backup, log, controllo degli account, aggiornamenti e ricerca del punto di ingresso.<\/p>\n

Nota di aggiornamento:<\/strong> Interfaccia e funzioni Imunify cambiano in base a versione e licenza. Non eseguire cancellazioni indiscriminate e conserva sempre una copia prima della bonifica.<\/em><\/p>\n<\/div>\n

Ormai da qualche anno il sistema pi\u00f9 utilizzato per creare i siti web \u00e8 senza dubbio WordPress, quindi la maggior parte dei webmaster non crea pi\u00f9 i siti web statici tramite html e css ma utilizza sistemi di gestione dei contenuti (CMS) come WordPress, Joomla, Prestashop e molti altri.<\/p>\n

Analisi dei Virus su WordPress – Imunify Security<\/h2>\n

La popolarit\u00e0 di WordPress lo rende un obiettivo primario per gli hacker che cercano in tutti i modi di bucare i siti web in maniera diretta oppure tramite dei virus \/ malware che inseriscono all’interno di plugin o temi.<\/p>\n

In particolar modo sta girando un virus pericoloso e difficile da individuare che sta prendendo di mira WordPress, di conseguenza abbiamo deciso di fornirti un’analisi approfondita di questo malware e ti spieghiamo come sia possibile riuscire a rimuoverlo.<\/p>\n

COME AGISCE UN VIRUS SU WORDPRESS<\/h2>\n

WordPress Malware mascherato<\/h2>\n

Questo malware WordPress \u00e8 composto da stringhe con codifica Base64 e nomi di variabili lunghe, questo complica il codice rendendolo pi\u00f9 difficile da analizzare.<\/p>\n

\"Codice<\/p>\n

Virus WordPress autodistruggente<\/h2>\n

Il file \u00e8 progettato per autodistruggersi ed eliminarsi se una delle variabili _REQUEST ha il nome delete.<\/p>\n

\"Malware<\/p>\n

Virus WordPress: recupera i files remoti<\/h2>\n

Questo malware WordPress invia una richiesta tramite il parametro $ _REQUEST per un file aggiuntivo e come puoi vedere dal seguente codice, ha come target anche il CMS Joomla.<\/p>\n

\"Malware<\/p>\n

Anche se gli amministratori di sistema pi\u00f9 prudenti disabilitano allow_url_fopen in php.ini, cerca comunque di recuperare il file usando curl.<\/p>\n

Virus WordPress: cerca directory\u00a0infettabili<\/h2>\n

A volte, i webmaster usano il nome di dominio di un sito come nome di directory della root principale, per esempio il dominio tuodominio.it potrebbe contenere: home\/public_html\/tuodominio.it<\/p>\n

In questo caso, la Root principale viene utilizzata da questo malware WordPress per cercare di identificare le directory che possono essere infettate, questo \u00e8 solo uno dei mezzi con cui questo virus WordPress cerca di identificare le directory infettabili.<\/p>\n

\"Directory<\/p>\n

Virus WordPress: inserisce il file in remoto<\/h2>\n

Dopo aver identificato le directory infettabili, questo malware WordPress utilizza la funzione di processo per consegnare il file recuperato in remoto che verifica\u00a0se la directory \u00e8 scrivibile e se fa parte di un CMS WordPress o Joomla<\/p>\n

\"Connessione<\/p>\n

In tal caso, viene chiamato il seguente codice: inject_wordpress_main_php<\/p>\n

\"Codice<\/p>\n

Questo, a sua volta, colloca i contenuti del file recuperato in remoto in un file WordPress cruciale, come:<\/p>\n

\/wp-admin\/class-wp-main.php
\n\/wp-content\/class-wp-main.php
\n\/class-wp-main.php<\/p><\/blockquote>\n

Infine, la funzione di processo verifica se una parola chiave fornita con la richiesta (sotto forma di $ _REQUEST [“parola chiave”] o la parola chiave predefinita (ttmaintt) fa parte della risposta quando si accede agli URL infetti.<\/p>\n

\"Uso<\/p>\n

\"Codice<\/p>\n

COME IDENTIFICARE IL VIRUS WORDPRESS<\/h2>\n

Tutti i file che abbiamo incontrato durante le nostre indagini erano associati al nome del file<\/p>\n

wp-domain.php<\/em><\/span><\/p><\/blockquote>\n

 <\/p>\n

hash<\/strong><\/span><\/p>\n

Questo malware ha utilizzato gli hash SHA256:<\/p>\n

bc18abd55d2fc15bf8c85c49b35051943ce2d807c3ab0fadf515a8feecb0b762<\/em><\/span><\/p><\/blockquote>\n

 <\/p>\n

Funzioni<\/strong><\/span><\/p>\n

Ha definito un totale di 35 funzioni:<\/p>\n

– check_config<\/em><\/span><\/p>\n

– is_dir_empty<\/em><\/span><\/p>\n

– in_array_partial<\/em><\/span><\/p>\n

– bool_to_string<\/em><\/span><\/p>\n

– process<\/em><\/span><\/p>\n

– is_cms<\/em><\/span><\/p>\n

– get_search_keyword<\/em><\/span><\/p>\n

– assert_main_php<\/em><\/span><\/p>\n

– get_wordpress_main_content<\/em><\/span><\/p>\n

– get_joomla_main_content<\/em><\/span><\/p>\n

– get_main_content(<\/em><\/span><\/p>\n

– inject_wordpress_main_php<\/em><\/span><\/p>\n

– inject_joomla_main_php<\/em><\/span><\/p>\n

– inject_main_php<\/em><\/span><\/p>\n

– get_current_user_name<\/em><\/span><\/p>\n

– get_user_domains<\/em><\/span><\/p>\n

– remove_tld<\/em><\/span><\/p>\n

– is_wordpress<\/em><\/span><\/p>\n

– is_joomla<\/em><\/span><\/p>\n

– get_dirs_recursive<\/em><\/span><\/p>\n

– get_domains_dir<\/em><\/span><\/p>\n

– get_valid_dirs<\/em><\/span><\/p>\n

– could_be_domain<\/em><\/span><\/p>\n

– get_dirs<\/em><\/span><\/p>\n

– have_tld<\/em><\/span><\/p>\n

– is_domain<\/em><\/span><\/p>\n

– is_domain_partial<\/em><\/span><\/p>\n

– get_common_dirs(<\/em><\/span><\/p>\n

– get_tlds<\/em><\/span><\/p>\n

– clean_domain<\/em><\/span><\/p>\n

– not_www<\/em><\/span><\/p>\n

– get_domain<\/em><\/span><\/p>\n

– remove_www<\/em><\/span><\/p>\n

– estimate_current_path<\/em><\/span><\/p>\n

– url_get_contents<\/em><\/span><\/p><\/blockquote>\n

COME BLOCCARE UN VIRUS SU WORDPRESS<\/h2>\n

E’ difficile bloccare questa tipologia di malware, ad esempio anche disattivando il comando allow_url_fopen non sarai protetto perch\u00e9 se lo fai il malware utilizzer\u00e0 il modulo curl.<\/p>\n

Altrimenti sarebbe possibile utilizzare un firewall per bloccare tutto il traffico generato dal Web Server in modo indipendente, per assicurarsi che questo malware non riesca a recuperare il file remoto ma con questa operazione verrebbe bloccato ci\u00f2 anche tutto il traffico legittimo che WordPress utilizza per le sue normali operazioni, come gli aggiornamenti.<\/p>\n

Quindi il modo migliore per proteggersi da questo virus WordPress \u00e8 seguire queste indicazioni:<\/p>\n