Come controllare un sito WordPress per malware: rilevamento e rimozione

Il tuo sito ha fallito un controllo di Google Safe Browsing. Oppure un cliente ti ha inoltrato uno screenshot che mostra che il suo sito potrebbe essere stato violato.

In entrambi i casi, ti trovi di fronte a una bacheca di WordPress chiedendoti da dove iniziare a cercare il malware.

Eseguo la stessa checklist ogni volta che succede, sia che si tratti del mio sito o di uno che gestisco per un cliente.

Non è complicato. Deve solo essere approfondito, perché il malware non si annuncia sempre con un'etichetta di avvertimento.

In questo post, ti mostrerò come controllare il tuo sito per il malware, passo dopo passo, oltre a cosa fare una volta che ne trovi un po'.

Se preferisci saltare direttamente a confrontare i plugin di rimozione malware, abbiamo un post separato per quello. Qui, ci concentriamo sul processo: cosa cercare, dove cercare e come sapere quando hai effettivamente trovato qualcosa rispetto a qualcosa che sembra sospetto.

Ecco i punti chiave:

• Due modi per risolvere un'infezione da malware: ripristinare un backup effettuato prima che il malware entrasse (veloce, lo elimina in un solo passaggio), oppure rimuovere manualmente i file e le voci del database infetti se non esiste un backup pulito (più lento, richiede più attenzione).
• Eseguire il backup di un sito infetto è previsto, non un errore: quel backup ti protegge dai tuoi errori di pulizia.
• Il malware spesso risiede nel tuo database, non nei tuoi file: account di amministrazione non autorizzati, collegamenti iniettati nel contenuto dei post e valori di siteurl alterati sfuggono regolarmente agli scanner basati sui file.
• Il timestamp del tuo Registro attività decide tutto: ti dice quanto indietro va l'infezione, il che determina se esiste effettivamente un backup pulito da ripristinare.
• Pulire il malware non è l'ultimo passaggio: se non ripari ciò che lo ha fatto entrare (un plugin obsoleto, una password debole), la stessa infezione rientra nello stesso modo.

Indice

Perché controllare il tuo sito per malware?

Il malware su un sito WordPress raramente rimane contenuto in un solo file o in una sola pagina. Si diffonde.

Un singolo file di plugin infetto può iniettare link di spam in ogni pagina del tuo sito, creare account amministratore nascosti o reindirizzare silenziosamente una parte dei tuoi visitatori a una pagina di truffa, mentre tutto sembra normale per te.

Lasciate a sé stesse, queste cose hanno conseguenze reali.

Google può segnalare il tuo intero sito con un avviso "Questo sito potrebbe essere stato compromesso" nei risultati di ricerca, il che fa crollare il tuo tasso di clic anche se la maggior parte delle tue pagine non è interessata.

Il tuo provider di hosting può sospendere il tuo account se l'infezione inizia a inviare spam o ad attaccare altri siti. Se gestisci un negozio online, un'infezione a livello di database può esporre i dati dei clienti senza un singolo sintomo visibile.

Ho visto proprietari di siti rimandare questo per settimane perché nulla sembrava palesemente sbagliato.

Questo è solitamente il problema. Le infezioni che causano più danni sono quelle costruite per rimanere silenziose.

Controllare regolarmente (non solo quando qualcosa sembra fuori posto) è ciò che rileva un'infezione mentre è ancora abbastanza piccola da poter essere risolta in un pomeriggio invece che in una settimana.

Cosa Ti Serve Prima di Iniziare

Non è necessario essere uno sviluppatore per seguire questa checklist, ma è necessario avere alcune cose a posto prima.

• Accesso a wp-admin. Controllerai utenti, plugin e contenuti direttamente nella dashboard.
• Accesso FTP/SFTP o file manager. La maggior parte degli host fornisce questo tramite cPanel o un pannello di controllo simile. Ti servirà per controllare le date di modifica dei file e ispezionare il codice.
• Accesso al database. phpMyAdmin o l'equivalente del tuo host. Questo è opzionale per i primi passaggi, ma ti servirà una volta arrivato a controllare il contenuto iniettato.
• Un backup recente, o la possibilità di farne uno subito. Questo non è opzionale.

Ecco perché quest'ultima cosa è più importante di quanto sembri.

Una volta che inizi a esaminare i file infetti, è facile cancellare qualcosa che si rivela essere portante o interpretare erroneamente un file di plugin legittimo come dannoso. Un backup significa che qualsiasi errore commesso lungo il percorso ti costa un ripristino, non una ricostruzione.

Se non hai già un backup recente, questo è il tuo primo passo. Tutto il resto in questo post presuppone che tu ne abbia uno.

Come controllare il tuo sito WordPress per malware

Ecco cosa faccio sempre per controllare un sito WordPress per malware pericoloso:

• Cerca i segnali di avvertimento visibili: i sintomi che solitamente avvisano le persone prima di qualsiasi altra cosa, in modo da sapere in pochi minuti se hai a che fare con un'infezione o qualcos'altro.
• Esegui il backup del tuo sito prima di toccare qualsiasi cosa: questo rende ogni passaggio successivo reversibile, quindi un errore di valutazione successivo ti costa un ripristino, non una ricostruzione.
• Controlla Google Search Console e gli avvisi del browser: conferma se Google o Chrome ti hanno già segnalato, poiché quella segnalazione è ciò che ti sta effettivamente costando traffico in questo momento.
• Scansiona i tuoi file alla ricerca di codice sconosciuto o modificato di recente: il controllo manuale che la maggior parte delle persone salta, ed è solitamente dove si nasconde la vera infezione.
• Controlla il tuo database per contenuti iniettati e utenti non autorizzati: dove le infezioni sfuggono alla maggior parte degli scanner, perché spesso non c'è un file da segnalare.
• Esegui una scansione malware per una seconda opinione: un controllo incrociato, non un sostituto dei passaggi precedenti, utile per catturare ciò che una revisione manuale ha perso.
• Rivedi il tuo registro attività per tracciare cosa è cambiato e quando: individua il momento esatto in cui le cose sono andate storte, poiché quel timestamp ti dice in seguito se esiste un backup pulito.

Passaggio 1: Cerca i segnali di avvertimento visibili

La maggior parte delle infezioni si manifesta prima che tu inizi a cercarle. Devi solo sapere cosa stai cercando.

Controlla:

• I visitatori vengono reindirizzati a siti spam o sconosciuti quando atterrano sulle tue pagine
• Appaiono popup o annunci che non hai mai aggiunto
• Un avviso "sito ingannevole in arrivo" o "questo sito potrebbe danneggiare il tuo computer" in Chrome o in un altro browser
• Un improvviso calo nei ranking di ricerca o nel traffico senza spiegazioni
• Testo spam o senza senso che appare nei tuoi snippet di ricerca, anche se le tue pagine effettive sembrano a posto
• Il sito funziona notevolmente più lentamente o restituisce errori 500 senza modifiche recenti da parte tua
• Un'email dal tuo host riguardo a una sospensione o a un problema di sicurezza

Uno qualsiasi di questi da solo potrebbe essere qualcos'altro. Ma se ne vedi due o tre contemporaneamente, potrebbe essere un segnale importante di malware sul tuo sito.

Passaggio 2: Esegui il backup del tuo sito prima di toccare qualsiasi cosa

Prima di aprire un singolo file o eseguire una singola scansione, fai un backup.

Tutto ciò che fai da qui in poi (eliminare un file, modificare il database o eseguire uno strumento di pulizia) necessita di un modo per tornare indietro se qualcosa va storto. Un backup è quel modo per tornare indietro.

Questo confonde le persone, quindi affrontiamolo direttamente: se il tuo sito è infetto, non si limita a salvare una copia del malware facendo il backup?

Sì, lo fa. Va bene.

Questo backup ti protegge dai tuoi errori di pulizia, non per darti una versione pulita del sito.

Se elimini il file sbagliato o rompi qualcosa durante le indagini, ripristini questo backup e torni esattamente a dove hai iniziato, malware incluso, invece di un sito rotto sopra uno infetto.

Il backup da cui ripristineresti effettivamente per rimuovere il malware è uno separato, più vecchio, fatto prima che l'infezione si verificasse. Ci arriveremo più tardi. Per ora, questo backup è solo il tuo pulsante Annulla per eventuali errori di pulizia.

Per crearlo, consiglio di utilizzare Duplicator. Questo è il mio plugin di backup preferito perché offre un vero ripristino di emergenza che ripristina il tuo sito anche se WordPress è completamente rotto.

Crea un nuovo backup. Scegli il preset di backup Sito Completo.

Duplicator può inviare i backup direttamente allo spazio di archiviazione cloud: Duplicator Cloud, Google Drive, Dropbox o Amazon S3, tra gli altri.

Questo è più importante di quanto sembri. Se il tuo server è compromesso abbastanza gravemente, un backup che si trova nello stesso posto dell'infezione non è una grande rete di sicurezza.

Saprai che ha funzionato quando il backup apparirà nella schermata Backup, con elencati sia un file di archivio che un file di installazione.

Questo è il tuo punto di ripristino. Tutto da qui in poi è sicuro da indagare.

Passaggio 3: Controlla Google Search Console e gli avvisi del browser

Il tuo sito potrebbe essere già stato segnalato e tu non hai ancora controllato.

Accedi a Google Search Console per il tuo sito e apri il report Problemi di sicurezza nella barra laterale sinistra. Se i crawler di Google hanno trovato malware, contenuti spam o pagine ingannevoli sul tuo sito, verranno visualizzati qui con dettagli su cosa è stato trovato e quando.

Vale la pena sapere cosa significa ogni tipo di avviso, poiché indicano problemi diversi:

• Avviso malware: Google ha trovato codice progettato per danneggiare i visitatori, come un download automatico o uno script di exploit
• Avviso pagine ingannevoli: il tuo sito sta mostrando ai visitatori qualcosa di fuorviante, spesso una pagina di accesso falsa o un tentativo di phishing
• Avviso download dannosi: il tuo sito sta distribuendo un file che Google considera pericoloso, anche se non l'hai messo tu lì

Un report vuoto sui problemi di sicurezza è una buona notizia, ma non è la prova che sei pulito. Google non rileva tutto e non rileva le cose all'istante.

Se hai visto un avviso "sito ingannevole in arrivo" in Chrome, quella è la Navigazione sicura di Google, un sistema correlato ma separato da Search Console.

Puoi controllare lo stato del tuo sito direttamente nella pagina di stato del sito Navigazione sicura di Google inserendo il tuo dominio.

Passaggio 4: Scansiona i tuoi file per codice non familiare o modificato di recente

Questo è il passaggio che la maggior parte delle persone salta, ed è solitamente dove trovo il problema.

Connettiti al tuo sito tramite FTP, SFTP o il file manager del tuo host. Naviga nella directory principale di WordPress e ordina l'elenco dei file per data di modifica, dal più recente al meno recente.

Qualsiasi modifica recente inaspettata merita un'analisi più approfondita. Questo vale anche se il nome del file sembra innocuo.

Ecco cosa cerco effettivamente:

• File PHP che si trovano dove non dovrebbero, specialmente all'interno di wp-content/uploads, che dovrebbe contenere solo media, non codice eseguibile
• Lunghe stringhe di caratteri dall'aspetto casuale all'interno di un file, spesso il risultato di eval(base64_decode()) o di un'offuscazione simile utilizzata per nascondere codice dannoso da una lettura casuale
• Un file di tema o plugin che è stato modificato ma il plugin stesso non è stato aggiornato di recente
• Nomi di file che sembrano quasi giusti, come wp-user.php accanto al vero wp-users.php

Se hai effettuato un backup di Duplicator prima che iniziasse questa infezione, o se hai accesso ai backup più vecchi del tuo host, confronta i file correnti con quella versione pulita. Qualsiasi cosa diversa è o un aggiornamento legittimo che hai apportato o qualcosa che necessita di spiegazioni.

Non eliminare ancora nulla. Questo passaggio serve a trovare e annotare ciò che sembra sbagliato, non a correggerlo.

Ho visto persone notare qualcosa di sospetto, eliminarlo immediatamente e rimuovere una funzionalità funzionante perché si è rivelato essere un file di plugin legittimo che sembrava solo non familiare. Conferma prima di agire.

Passaggio 5: Controlla il tuo database per contenuti iniettati e utenti non autorizzati

Gli scanner a livello di file mancano costantemente questo passaggio perché spesso non c'è un file da segnalare. L'infezione vive interamente nel tuo database.

Ho trovato link di spam nascosti nel contenuto dei post che non sono mai apparsi in una scansione dei file. Ho anche trovato reindirizzamenti dannosi nascosti nelle impostazioni dei widget e account di amministrazione creati direttamente nel database senza alcuna attività corrispondente altrove in WordPress.

Apri phpMyAdmin o lo strumento del database del tuo host e controlla questi punti:

• La tabella wp_users. Cerca account di amministrazione che non riconosci, specialmente quelli con date di registrazione recenti che non puoi giustificare.
• Contenuto di post e pagine. Cerca tag <script>, tag <iframe> o link non familiari che non hai aggiunto. Un modo rapido per farlo è cercare nella tabella wp_posts il termine script o un dominio sospetto.
• La tabella wp_options. Verifica che i valori di siteurl e home corrispondano al tuo dominio effettivo. A volte il malware li modifica per reindirizzare i visitatori senza toccare un singolo file.
• Impostazioni dei widget e del personalizzatore del tema. Memorizzati come dati serializzati in wp_options, questi possono contenere script iniettati che vengono eseguiti solo per i visitatori disconnessi, motivo per cui potresti non aver notato nulla navigando sul tuo sito mentre eri connesso.

Se trovi un account di amministrazione non autorizzato, non eliminarlo ancora.

Prendi nota del nome utente e della data in cui è stato creato. Avrai bisogno di queste informazioni nel passaggio 7 quando controllerai il registro delle attività per vedere cosa ha effettivamente fatto quell'account.

Passaggio 6: Esegui una scansione malware per una seconda opinione

Tutto finora è stato manuale. Questo cattura molto, ma non tutto.

Esegui uno strumento di scansione di sicurezza WordPress contro il tuo sito come seconda opinione.

Wordfence e SiteCheck di Sucuri sono entrambe scelte comuni. Ognuno controlla le firme di malware note, i modelli di backdoor comuni e l'integrità dei file rispetto al codice originale di WordPress, dei plugin e dei temi, più velocemente di quanto potresti fare a mano.

Tratta i risultati come un controllo incrociato, non come un verdetto. Confronta ciò che la scansione segnala con ciò che hai già trovato nei passaggi 4 e 5.

Se emerge qualcosa di nuovo, indaga allo stesso modo: controlla la data di modifica, guarda il codice e conferma che non si tratti di un file legittimo prima di toccarlo.

I falsi positivi accadono più spesso di quanto ti aspetti. Uno scanner potrebbe segnalare un file di plugin semplicemente perché utilizza modelli di codice che assomigliano all'offuscamento, anche quando il plugin è completamente legittimo.

Non eliminare qualcosa solo sulla parola dello scanner se il tuo controllo manuale nel passaggio 4 non lo ha già segnalato.

Passaggio 7: Rivedi il tuo registro attività per tracciare cosa è cambiato e quando

A questo punto avrai probabilmente un elenco di sospetti: un file modificato, un account di amministrazione non autorizzato o un reindirizzamento iniettato. Quello che non hai ancora è una cronologia.

È qui che il plugin Activity Log può aiutare.

Activity Log di Duplicator Pro registra una traccia di controllo completa delle modifiche sul tuo sito: modifiche ai file, installazioni di plugin, creazione di utenti, tentativi di accesso e modifiche alle impostazioni. Ognuno viene registrato con un timestamp, un livello di gravità e l'account responsabile.

Il registro attività è incluso automaticamente gratuitamente con i piani Duplicator Elite per aiutarti a proteggere completamente il tuo sito.

Apri il registro attività e filtra per l'intervallo di date in cui hai notato per la prima volta i sintomi nel passaggio 1.

Se hai trovato un account amministratore non autorizzato nel passaggio 5, cerca nel registro quel nome utente. Vedrai:

• Quando è stato creato l'account
• Da dove ha effettuato l'accesso
• Cosa ha fatto prima che lo scoprissi

Quel timestamp è più importante di quanto possa sembrare in questo momento.

Ti dice quanto indietro va l'infezione, che è il numero di cui avrai bisogno nella sezione successiva per capire se esiste effettivamente un backup pulito.

Come rimuovere il malware una volta trovato

Hai un elenco di ciò che è infetto e approssimativamente quando è iniziato. Ora è il momento di sbarazzarsene.

Ecco cosa farai, in ordine:

• Decidi tra ripristinare un backup o rimuovere i file manualmente: quale percorso ha senso dipende da ciò che hai trovato nel passaggio 7, e scegliere quello sbagliato significa tempo perso o un ripristino reinfezionato.
• Ripristina un backup pre-infezione se ne hai uno: la soluzione più veloce, quando è disponibile, che sostituisce ogni file e voce di database infetti in un'unica azione.
• Rimuovi manualmente il codice infetto se non hai un backup pulito: elimina o sostituisci ciò che hai identificato nei passaggi 4 e 5. È più lento e rischioso, ma è l'unica opzione senza un punto di ripristino pulito.
• Chiudi la porta che ha fatto entrare il malware: altrimenti dovrai ripulire di nuovo tra un mese, poiché ripristinare o eliminare il malware non tocca la vulnerabilità che lo ha fatto entrare.

Passaggio 1: Decidi tra ripristinare un backup o rimuovere i file manualmente

Prendi il timestamp che hai trovato e confrontalo con la cronologia dei tuoi backup.

Se hai un backup completo del sito precedente a quel timestamp, ripristinarlo è quasi sempre più veloce e sicuro che rimuovere i file uno per uno.

Un ripristino sostituisce ogni file e voce di database infetti in un'unica azione, inclusi eventuali elementi che potresti aver perso nei passaggi 4 e 5.

Se la tua infezione è presente da settimane e il tuo backup pulito più recente è più vecchio di così (o non hai affatto un backup che la preceda), il ripristino non è un'opzione. Stai invece rimuovendo l'infezione manualmente.

Controlla ora, prima di fare qualsiasi altra cosa in questa sezione. Decide quale dei prossimi due passaggi ti serve effettivamente.

Passaggio 2: Ripristina un backup pre-infezione

Ripristinare un backup pulito è solitamente il percorso più veloce per tornare online dopo un'infezione da malware. Ti mostrerò come farlo con Duplicator.

Apri Duplicator e vai alla schermata Backup. Trova il backup datato prima dell'inizio dell'infezione e fai clic su Ripristina.

Duplicator ti guida attraverso la conferma del backup e la ricostruzione del tuo sito da esso. Al termine, il tuo sito corrisponderà esattamente a come appariva prima dell'infezione.

L'ho usato più di una volta per trasformare quella che sembrava una pulizia di diverse ore in un ripristino di due minuti.

Se il tuo sito è così compromesso che non riesci nemmeno ad accedere a wp-admin, non sei bloccato. Duplicator Pro ti consente di ripristinare direttamente, senza che WordPress debba caricarsi prima.

Ricarica i file di backup nella directory principale del tuo sito e avvia l'installer da lì.

Sia che tu abbia ripristinato un backup o ripulito manualmente, il tuo sito è ora completamente pulito. Tuttavia, è ancora vulnerabile alla stessa infezione domani.

Capirai che ha funzionato quando i segnali di avviso di malware saranno scomparsi: niente reindirizzamenti, niente popup, niente avvisi del browser e un report pulito se riesegui il controllo dei problemi di sicurezza di Search Console.

Una cosa che un ripristino non fa: non chiude ciò che ha fatto entrare il malware la prima volta. Quello è l'ultimo passaggio, e saltarlo significa ripristinare un sito pulito nella stessa porta aperta.

Passaggio 3: Rimuovi manualmente il codice infetto

Rimuovere manualmente il malware è un percorso più difficile rispetto al ripristino di un backup. Funziona, ma richiede pazienza.

Conferma di avere un backup prima di toccare qualsiasi cosa in questo passaggio. Stai per eliminare file e modificare voci di database direttamente. Se ne sbagli una, quel backup è ciò che si frappone tra una soluzione rapida e un sito rotto.

Lavora su ciò che hai contrassegnato nei passaggi 4 e 5:

• Elimina i file non familiari che hai identificato nel passaggio 4: i file PHP estranei, il codice offuscato, i file con nomi che sembravano quasi giusti.
• Rimuovi il contenuto iniettato, i link di spam e gli account di amministrazione rogue che hai trovato nel passaggio 5.
• Se un file principale di WordPress è stato modificato, non cercare di ripararlo manualmente. Scarica una copia fresca di WordPress da wordpress.org e sostituisci direttamente i file principali interessati.

Procedi lentamente. Elimina una cosa, poi controlla che il tuo sito si carichi ancora e che la funzionalità di cui faceva parte funzioni ancora prima di passare alla successiva.

Ho visto uno script di pulizia eliminare un file da cui dipendeva un tema e far cadere la homepage con esso. Quell'errore è una correzione di due minuti se hai un backup e molto più lunga se non ce l'hai.

Una volta che hai lavorato su tutto ciò che è nella tua lista, riesegui una scansione di sicurezza per confermare che non sia stato tralasciato nulla.

Passaggio 4: Chiudi la porta che il malware ha usato per entrare

Sia che tu abbia ripristinato un backup o ripulito manualmente, il tuo sito è ora completamente pulito. Tuttavia, è ancora vulnerabile alla stessa infezione domani.

Ripristinare o rimuovere il malware non risolve ciò che l'ha fatto entrare.

Lavora su questo prima di considerare il lavoro finito:

• Aggiorna ciò che ha fatto entrare il malware. Se il passaggio 4 o 7 ha indicato un plugin, un tema o una versione core di WordPress obsoleti, aggiornalo ora. Se non sei sicuro di quale, aggiorna tutto.
• Cambia tutte le password. Ogni account di amministrazione, più le tue credenziali FTP, hosting e database. Presumi che tutto ciò che era accessibile durante l'infezione sia compromesso.
• Rimuovi eventuali account di amministrazione che non hai riconosciuto nel passaggio 5, se non l'hai già fatto.
• Attiva l'autenticazione a due fattori per gli account di amministrazione, se non l'hai già fatto.

Questo è il passaggio che le persone saltano perché il sito sembra già a posto e si sente che il lavoro è finito. Non è così.

Un'infezione che è entrata tramite un plugin obsoleto rientrerà tramite lo stesso plugin, a volte entro pochi giorni, se ripristini un sito pulito senza prima riparare il buco.

Risoluzione dei problemi comuni

Non tutti i controlli di sicurezza anti-malware vanno lisci. Ecco cosa fare quando non vanno.

Impossibile accedere a wp-admin

Cosa vedi: La pagina di accesso viene caricata, ma le tue credenziali non funzionano o la pagina reindirizza altrove.

Perché succede: A volte il malware modifica le password dell'amministratore, elimina gli account amministratore o altera il valore di siteurl nel database per reindirizzare la pagina di accesso.

Come risolvere: Usa l'URL di ripristino di emergenza di Duplicator Pro per ripristinare un backup pulito senza dover caricare wp-admin prima.

Se non hai ancora installato Duplicator, avrai bisogno di accesso diretto al database o ai file tramite il tuo host per reimpostare la password dell'amministratore o correggere manualmente il valore di siteurl.

Lo scanner dice pulito ma qualcosa non va

Cosa vedi: Una scansione malware non restituisce risultati, ma continui a vedere i sintomi.

Perché succede: Gli scanner sono bravi con le firme note, non con le infezioni personalizzate o solo nel database. Un account amministratore dannoso o un reindirizzamento iniettato in wp_options non attiveranno sempre una scansione basata sui file.

Come risolvere: Torna indietro manualmente ai passaggi 4 e 5. Presta particolare attenzione ai controlli del database nel passaggio 5, poiché quella è la categoria che gli scanner mancano più spesso.

Hai trovato il file infetto ma non sei sicuro che sia sicuro eliminarlo

Cosa vedi: Un file sembra sospetto, ma si trova all'interno della cartella di un plugin o di un tema che utilizzi effettivamente.

Perché succede: Il malware viene spesso iniettato direttamente nei file di plugin o temi esistenti, anziché essere aggiunto come nuovo file, proprio per renderlo più difficile da distinguere dal codice legittimo.

Come risolvere: Confronta il file con una copia fresca di quel plugin o tema, scaricata direttamente dalla sua fonte ufficiale. Se il codice differisce dall'originale, la differenza è la tua infezione. Sostituisci l'intero file anziché cercare di rimuovere solo la parte sospetta.

Il tuo backup potrebbe essere già infetto

Cosa vedi: Vai per ripristinare un backup, ma non sei sicuro che sia precedente all'infezione.

Perché succede: Il malware può rimanere non rilevato per settimane. Se il tuo backup più recente è stato effettuato durante quel periodo, ripristinandolo si riporterà indietro l'infezione.

Come risolvere: Controlla il timestamp del Registro attività rispetto alle date dei tuoi backup. Ripristina il backup più recente che è precedente a quel timestamp, anche se ciò significa perdere alcuni contenuti nel frattempo. Un sito pulito leggermente obsoleto è meglio di uno attuale infetto.

Il malware continua a tornare dopo averlo rimosso

Cosa vedi: Pulisci il sito e, entro pochi giorni, ricompaiono gli stessi sintomi del malware.

Perché succede: La vulnerabilità che ha permesso al malware di entrare la prima volta è ancora aperta, quindi lo stesso attacco rientra nello stesso modo.

Come risolvere: Aggiorna il software obsoleto, cambia ogni password e rimuovi eventuali account amministratore che non riconosci. Se non sei sicuro di cosa l'abbia fatto entrare, controlla il Registro attività per la data della prima azione sospetta.

Niente di quanto sopra sta funzionando

Se hai seguito attentamente questa intera checklist e sei ancora bloccato, o l'infezione è troppo estesa per essere isolata da solo, vale la pena rivolgersi a un servizio di pulizia professionale a quel punto.

Un ripristino di backup verificato e pulito, se ne hai uno, è ancora il tuo percorso più veloce per tornare a un sito funzionante mentre risolvi il resto.

Domande frequenti (FAQ)

Catturare il malware in anticipo è meglio che pulirlo dopo

Ora hai un processo reale per controllare e correggere il malware, non solo un approccio di scansione e speranza.

Sai quali segnali di avvertimento cercare, come controllare i tuoi file e database per ciò che la maggior parte degli scanner perde, e come tracciare esattamente quando e come è iniziata un'infezione utilizzando il tuo registro attività.

Se hai trovato qualcosa, sai anche se ripristinare o pulire manualmente, e cosa deve succedere dopo in modo che non ritorni subito.

Non trattare questo come una soluzione una tantum.

I siti che evitano infezioni ripetute sono quelli che controllano regolarmente, non quelli che guardano solo quando qualcosa è già visibilmente sbagliato. Imposta un promemoria ricorrente, settimanale se riesci a gestirlo.

Un'altra cosa che vale la pena fare una volta che sei sicuro che il sito sia pulito: richiedi una revisione in Google Search Console nella sezione Problemi di sicurezza.

Google non sa automaticamente che hai risolto qualcosa. Finché non richiedi quella revisione e viene approvata, gli avvisi del browser e i contrassegni negli snippet di ricerca possono rimanere anche su un sito completamente pulito, facendoti perdere traffico per un'infezione che è già scomparsa.

Proteggi il tuo sito prima della prossima infezione

La checklist in questo post funziona, ma richiede tempo che non sempre hai quando hai già a che fare con un'infezione attiva.

Un backup recente e una traccia completa delle attività trasformano la stessa situazione in un ripristino di due minuti invece che in una pulizia di diverse ore. Questa è la differenza tra cogliere il problema presto e coglierlo troppo tardi.

Oltre 1,5 milioni di professionisti WordPress utilizzano Duplicator Pro per assicurarsi che una versione pulita del loro sito sia sempre a un ripristino di distanza, con Activity Log per sapere esattamente quando qualcosa è cambiato. Unisciti a loro per un sito più sicuro!

Se questo tutorial ti è stato utile, anche queste guide meritano di essere aggiunte ai preferiti.

• 4 plugin per la rimozione di malware da WordPress che puliscono i file infetti
• Come pulire un sito WordPress
• Cosa fare quando sei bloccato fuori da WordPress
• Come recuperare un sito WordPress compromesso
• Come ottimizzare il tuo database WordPress: Ottieni un sito veloce in 10 passaggi
• Come proteggere il tuo sito web dagli hacker