Un file segnalato da Imunify360 deve essere analizzato in base a percorso, firma, data e stato, senza cancellarlo o inserirlo nella Ignore List alla cieca. La segnalazione può riguardare malware reale, codice modificato, strumenti amministrativi rischiosi o, più raramente, un falso positivo. Prima di intervenire crea una copia recuperabile e verifica il file con la versione originale dell’applicazione.
Imunify360 protegge l’hosting attraverso più componenti, tra cui rilevamento malware, protezioni web e controlli in tempo reale. Le funzioni visibili nel pannello dipendono dalla configurazione assegnata all’account: alcuni utenti possono consultare gli eventi, mentre azioni come scansione manuale, cleanup, eliminazione o Ignore List possono essere limitate.
Questa guida spiega come interpretare Imunify360, file segnalati e falsi positivi nell’ambiente Xlogic, senza suggerire scansioni manuali o azioni non disponibili.
Che cosa significa una segnalazione
Una riga nella sezione dei file malevoli può mostrare:
- percorso completo del file;
- data e ora del rilevamento;
- firma o tipo di minaccia;
- stato, per esempio infetto, pulito o contenuto rimosso;
- azione eseguita automaticamente o richiesta;
- eventuale origine o processo collegato.
La presenza della segnalazione non indica automaticamente che l’intero account sia compromesso. Allo stesso tempo non va ignorata solo perché il sito sembra funzionare.
Stati che puoi incontrare
| Stato | Significato operativo |
|---|---|
| Infected | Il file corrisponde a una firma o a un comportamento considerato malevolo |
| Cleaned | È stata applicata un’azione di pulizia prevista dalla configurazione |
| Content removed | Il contenuto del file è stato rimosso durante la bonifica |
| Cleanup queued | La pulizia è in coda e non è ancora completata |
| Ignored | Il file è escluso dai controlli successivi secondo la regola applicata |
I nomi possono variare. Leggi sempre anche la cronologia dell’evento prima di decidere che cosa ripristinare.
Prima di modificare o cancellare un file
- annota il percorso completo;
- salva screenshot, firma e data del rilevamento;
- verifica se il file appartiene a WordPress, tema, plugin o applicazione personalizzata;
- controlla se esiste un backup precedente al primo evento;
- non aprire il codice malevolo nel browser;
- non eseguire il file per “vedere che cosa fa”;
- non cancellare subito il file se il sito potrebbe dipenderne.
Una cancellazione può interrompere il sito senza eliminare il punto di ingresso. Se la compromissione ha creato più file o utenti amministrativi, rimuovere un solo elemento non risolve la causa.
Come riconoscere il tipo di file
File del core WordPress
Confronta il file con la stessa versione ufficiale di WordPress. I file core non dovrebbero contenere personalizzazioni. Se risultano modificati, sostituiscili con una copia originale compatibile dopo il backup.
Plugin o tema
Scarica una copia pulita dalla fonte ufficiale o dal fornitore e confronta versione, dimensione e contenuto. Non reinstallare da archivi trovati su siti non affidabili. Se il plugin non è più mantenuto, valuta la sostituzione.
File personalizzato
Per codice sviluppato su misura serve il confronto con repository, backup o copia nota. Funzioni come esecuzione di comandi, scrittura di file, codice offuscato o richieste remote possono essere legittime in alcuni strumenti ma richiedono una revisione tecnica.
File sconosciuto in cartelle di upload
File PHP, script o archivi inattesi dentro cartelle destinate a immagini e documenti sono particolarmente sospetti. Controlla anche regole .htaccess, attività cron, utenti amministrativi e date degli altri file vicini.
Che cos’è un falso positivo
Un falso positivo si verifica quando un file legittimo viene classificato come malevolo. Può accadere con strumenti di amministrazione, codice offuscato dal produttore, loader, script che manipolano file o funzioni simili a quelle usate dal malware.
Non dichiarare un falso positivo basandoti sul nome del file. Sono necessari almeno:
- origine certa del file;
- hash o confronto con la copia ufficiale;
- versione del software;
- firma rilevata;
- assenza di modifiche estranee;
- eventuale conferma del produttore o dell’analisi tecnica.
Perché non usare subito la Ignore List
Aggiungendo un file alla Ignore List, Imunify360 può smettere di sottoporlo alle scansioni previste. Se il file è realmente malevolo, l’esclusione riduce la protezione e consente al codice di restare attivo.
La Ignore List deve essere utilizzata solo dopo una verifica documentata. Non escludere intere cartelle applicative per eliminare avvisi ripetuti.
Procedura consigliata dopo una segnalazione
- metti il sito in una condizione controllata se sta distribuendo contenuti dannosi;
- salva prove e copia recuperabile;
- aggiorna core, tema e plugin da fonti ufficiali;
- rimuovi software inutilizzato e account amministrativi sconosciuti;
- cambia le password da un dispositivo pulito;
- verifica cron, file recenti e directory scrivibili;
- ripristina solamente file e dati necessari da un backup precedente;
- controlla il sito dopo la correzione e monitora nuovi eventi.
Se utilizzi JetBackup 5, scegli un punto precedente alla compromissione e ricorda che il ripristino può reintrodurre plugin vulnerabili o password vecchie. Dopo il ripristino applica immediatamente gli aggiornamenti necessari.
Che cosa controllare in WordPress
- utenti amministratori e relative email;
- plugin e temi non riconosciuti;
- file PHP in
wp-content/uploads; - modifiche a
wp-config.phpe.htaccess; - cron WordPress e cron cPanel;
- chiavi di sicurezza WordPress;
- redirect, pagine spam e risultati anomali nei motori di ricerca;
- password riutilizzate su FTP, email o database.
Che cosa non fare
- non avviare ripetutamente scansioni manuali se la funzione non è prevista dall’account;
- non cancellare tutti i file segnalati senza verificare la dipendenza del sito;
- non inserire in Ignore List codice non analizzato;
- non inviare file malevoli via email senza archivio protetto e accordo con il tecnico;
- non ripristinare l’intero account scegliendo una data casuale;
- non considerare conclusa la bonifica solo perché la homepage si apre.
Come documentare l’incidente
Conserva un elenco cronologico degli eventi: prima segnalazione, file coinvolti, aggiornamenti eseguiti, password cambiate e backup utilizzati. Annota anche l’IP amministrativo, gli utenti WordPress rimossi e le versioni dei componenti vulnerabili. Questa documentazione permette di distinguere una nuova infezione dalla ricomparsa dello stesso file ripristinato da cache, backup o sincronizzazioni esterne.
Se il sito gestisce dati sensibili o transazioni, valuta anche gli obblighi contrattuali e normativi applicabili. La sola pulizia tecnica non determina automaticamente se vi sia stata esposizione di dati: servono log, ambito dell’accesso e analisi del comportamento del codice.
Quando aprire un ticket Xlogic
Apri un ticket se non riconosci il file, il sito mostra redirect o contenuti estranei, gli eventi ricompaiono, la pulizia non termina o sospetti un falso positivo. Indica dominio, percorso, data, firma, stato mostrato e modifiche recenti. Non inviare password.
La disponibilità di azioni e informazioni dipende dalla configurazione Imunify360 del piano. L’assistenza valuterà i dati disponibili senza richiedere al cliente di avviare scansioni manuali.
Fonti tecniche ufficiali
Domande frequenti su Imunify360
Un file segnalato è sicuramente malware?
La segnalazione è un indicatore importante, ma la valutazione deve considerare firma, origine, confronto con la copia ufficiale e cronologia del file.
Posso cancellare immediatamente il file?
Non sempre. Prima crea una copia recuperabile e verifica se il sito dipende dal file. La cancellazione può rompere l’applicazione senza rimuovere la causa.
Quando usare la Ignore List?
Solo dopo aver confermato tecnicamente che si tratta di un file legittimo. Un file ignorato potrebbe non essere più controllato dalle scansioni successive.
Devo avviare una scansione manuale?
Non necessariamente e la funzione può non essere disponibile all’utente. Nell’ambiente Xlogic segui gli eventi visibili e apri un ticket con percorso, firma e data.
Un ripristino JetBackup elimina la vulnerabilità?
No. Ripristina i dati scelti, ma può reintrodurre software vulnerabile. Dopo il ripristino devi aggiornare e correggere il punto di ingresso.