Un sito WordPress compromesso raramente lo dichiara. L’attaccante vuole restare invisibile il più a lungo possibile, perché ogni giorno di accesso in più è un’ulteriore occasione per inviare spam, abusare del tuo hosting o costruire posizionamento sui motori di ricerca sul tuo dominio. Prima individui una compromissione, meno danni provoca. Ecco dodici segnali d’allarme concreti da controllare su qualsiasi sito WordPress che possiedi o gestisci.
1. Pagine o cartelle sconosciute nella radice del sito
WordPress colloca i suoi file in un insieme noto di cartelle. Qualsiasi cosa al di fuori di wp-admin, wp-content, wp-includes e dei file standard del core nella radice va indagata. Un audit recente sul sito di un’agenzia di Sydney ha rivelato cinque nuove directory nella radice, ognuna nominata per imitare vere pagine WordPress. I file al loro interno erano l’intero attacco. Le cartelle stesse erano l’indizio.
2. File con estensione .php in wp-content/uploads
La cartella uploads è per i file multimediali. PHP non dovrebbe eseguirsi lì. Se trovi file .php nell’albero di uploads, soprattutto con nomi strani o date di modifica recenti, trattali come sospetti finché non si dimostri il contrario. L’eccezione è un piccolo insieme di file stub intenzionali che alcuni plugin di hardening aggiungono per bloccare l’accesso diretto. Tutto ciò che va oltre merita un’indagine.
3. Nuovi utenti amministratori che non hai creato
Apri Utenti nella tua bacheca WordPress. Guarda ogni account con il ruolo di amministratore. Se compare qualcuno che non riconosci, con un’email su un dominio che non conosci, o con una data di registrazione che non corrisponde ad alcun inserimento che ricordi, è un segnale d’allarme. Gli attaccanti creano spesso un account amministratore backdoor per poter tornare anche dopo la chiusura del punto d’ingresso originale.
4. Cali o picchi nelle prestazioni di Search Console
Google Search Console è il sistema di allerta precoce che la maggior parte dei proprietari ignora. Cali improvvisi di impressioni o posizioni possono indicare che è stata applicata un’azione manuale. Picchi improvvisi di impressioni per query che non hanno nulla a che fare con la tua attività possono significare che Google ora posiziona contenuti mascherati sotto il tuo dominio. In entrambi i casi, approfondisci.
5. URL indicizzati sconosciuti
In Search Console, il rapporto Copertura elenca ogni URL che Google ha indicizzato sotto il tuo dominio. Se vedi URL che non hai creato, soprattutto in lingue straniere o con percorsi insoliti, è un forte segno che il tuo dominio ospita contenuti mascherati. Il caso di Sydney citato prima si è manifestato per la prima volta proprio in URL indicizzati che il proprietario non aveva mai visto.
6. Anomalie nella fattura dell’hosting
Un balzo improvviso di banda o spazio di archiviazione sulla fattura dell’hosting, senza un corrispondente cambiamento di traffico o contenuti sul sito, può indicare che il server viene usato per qualcosa di diverso dal tuo sito. Gli attaccanti a volte usano siti WordPress compromessi per ospitare pagine di phishing, malware o contenuti spam, e quella banda compare nelle tue statistiche di utilizzo.
7. Commenti o registrazioni spam anche con i filtri attivi
Se hai un filtro anti-spam installato ma lo spam appare comunque, soprattutto commenti approvati automaticamente o registrazioni utente che aggirano le tue impostazioni, qualcosa ha aggirato il normale flusso di WordPress. Può essere una cattiva configurazione di un plugin, ma può anche essere una compromissione che ha disattivato o aggirato le tue protezioni.
8. File del core di WordPress modificati
I file in wp-admin e wp-includes fanno parte del core di WordPress. I proprietari non dovrebbero mai modificarli, e gli aggiornamenti di routine dovrebbero lasciarli in uno stato integro e noto. Un plugin di sicurezza affidabile come Wordfence può confrontare i tuoi file del core con le versioni ufficiali e dirti quali sono stati modificati. Qualsiasi modifica che non riesci a spiegare è un segnale d’allarme.
9. Voci strane nel tuo registro delle attività
Se il tuo plugin di sicurezza o il tuo host fornisce un registro delle attività, leggilo. Accessi da paesi in cui non operi, accessi a orari che non corrispondono alle abitudini del tuo team, modifiche alle impostazioni che non hai fatto, plugin installati o attivati al di fuori delle finestre di manutenzione ordinaria. Ognuno di questi merita un’indagine.
10. Reindirizzamenti inattesi dai risultati di ricerca
Clicca sul tuo sito da un risultato di Google, idealmente da una sessione del browser nuova o da un dispositivo mobile. Se finisci su un dominio diverso, su una pagina di destinazione sconosciuta o su una pagina che non corrisponde al titolo che hai cliccato, qualcosa sta intercettando il traffico di ricerca. Gli attaccanti spesso scrivono regole di reindirizzamento che si attivano solo per i visitatori provenienti dai motori di ricerca, ed è per questo che lo stesso URL sembra normale quando lo digiti direttamente.
11. Avvisi del browser sul tuo URL
Chrome, Firefox e Safari mostrano una pagina di avviso rossa se Google Safe Browsing ha segnalato il tuo dominio come diffusore di malware o phishing. Se qualcuno riferisce di aver visto un avviso del genere sul tuo sito, trattalo come una compromissione confermata finché non si dimostri il contrario. Nella grande maggioranza dei casi, l’avviso non è un falso positivo.
12. Clienti che segnalano contenuti strani
A volte il rilevatore più affidabile è un cliente confuso. Se qualcuno ti contatta per chiedere perché il tuo sito mostra contenuti non pertinenti, pubblicizza prodotti che non vendi o chiede credenziali in un modulo sconosciuto, ascolta con attenzione. I clienti vedono il lato pubblico del tuo sito in condizioni che forse non stai testando.
Cosa fare se noti uno di questi segnali
Se compare uno di questi segnali d’allarme, non farti prendere dal panico e non tentare di ripulire prima di aver compreso la portata. Il primo passo più importante è scattare un’istantanea dello stato attuale, incluso un backup completo di file e database, così che un audit forense possa vedere cosa ha fatto l’attaccante. Poi cambia ogni credenziale. Quindi avvia una pulizia sistematica, idealmente con l’aiuto di qualcuno che l’ha già fatto.
Ripulire troppo in fretta distrugge le prove che ti servono per trovare il punto d’ingresso. Senza trovare il punto d’ingresso, l’attaccante tornerà nel giro di pochi giorni.
Ti serve una mano?
Se uno di questi segnali d’allarme è comparso sul tuo sito WordPress, il team di Defyn può eseguire un audit forense, individuare il punto d’ingresso e guidarti verso un ripristino pulito. Mettiti in contatto non appena noti qualcosa. Il tempo conta.
