Quando scopri che un sito WordPress \u00e8 stato compromesso, la tentazione \u00e8 di fare tutto in una volta: cancellare i file malevoli, cambiare tutte le password, lanciare uno scanner, ripristinare da un backup, chiamare l’hosting. Eseguite nell’ordine sbagliato, queste azioni possono distruggere le prove che ti servono per trovare il punto di ingresso, lasciare l’aggressore ancora sul server e rendere il ripristino pi\u00f9 difficile del necessario. Questo articolo descrive l’ordine delle operazioni che seguiamo nelle prime 24 ore dopo una compromissione confermata di WordPress.<\/p>\n\n\n
Prima di attivare una risposta d’emergenza, assicurati che ci sia davvero una compromissione. Alcuni sintomi hanno spiegazioni innocue. Un nuovo utente amministratore potrebbe essere un collega che ha dimenticato di dirlo. Un file del tema modificato potrebbe essere una modifica in sospeso di uno sviluppatore. Un avviso in un plugin di sicurezza potrebbe essere un falso positivo.<\/p>\n\n\n
Controlla prima i segnali pi\u00f9 forti. File nella root del documento che non dovrebbero esserci. URL indicizzati in Search Console che non corrispondono a nulla del tuo sito. File del core di WordPress modificati. Connessioni in uscita verso destinazioni sospette. Avvisi del browser sull’URL. Confermato uno solo di questi, hai un incidente.<\/p>\n\n\n
Questo \u00e8 il passaggio che la maggior parte delle persone salta e che pi\u00f9 spesso rimpiange in seguito. Prima di cambiare qualsiasi cosa, esegui un backup completo dello stato compromesso attuale. File, database, tutto. Conservalo fuori sede, in un luogo che non verr\u00e0 toccato. Questa \u00e8 la tua istantanea forense. Senza di essa, non riuscirai a risalire a come \u00e8 entrato l’aggressore, e senza quello lo stesso attacco si ripeter\u00e0.<\/p>\n\n\n
L’istantanea non serve per il ripristino. Serve per l’analisi. Tienila separata dai tuoi backup puliti.<\/p>\n\n\n
Avvisa le persone che devono saperlo. Il team di sicurezza del tuo provider di hosting, soprattutto se gestisce infrastruttura condivisa. Il tuo sviluppatore o la tua agenzia. Internamente, chiunque abbia accesso da amministratore. I clienti e il pubblico possono aspettare finch\u00e9 non hai i fatti e una correzione chiara in corso. La comunicazione pubblica durante la fase di caos tende a essere errata e crea pi\u00f9 lavoro di quanto ne risolva.<\/p>\n\n\n
Ferma l’emorragia senza cancellare le prove. Se l’aggressore ha deturpato visibilmente delle pagine o sta distribuendo malware, metti il sito temporaneamente offline. La maggior parte degli hosting dispone di una modalit\u00e0 di manutenzione o di una pagina \u00abprossimamente\u00bb attivabile in pochi secondi. Questo protegge i visitatori senza sovrascrivere alcun file.<\/p>\n\n\n
Se sono compromesse pagine specifiche ma il resto del sito funziona, puoi aggirarle con reindirizzamenti o blocchi temporanei a livello di hosting. Evita di modificare i file a meno che non sia indispensabile.<\/p>\n\n\n
Dai per scontato che ogni credenziale che l’aggressore potrebbe aver toccato sia compromessa. Cambiale tutte:<\/p>\n\n\n
Ruotare i salt e le chiavi invalida ogni sessione WordPress esistente, il che espelle sia te sia qualsiasi aggressore. Questo \u00e8 essenziale. Senza di esso, un aggressore che ha catturato un cookie di sessione potrebbe mantenere l’accesso anche dopo aver cambiato tutte le password.<\/p>\n\n\n
Ora usa l’istantanea forense per capire come \u00e8 entrato l’aggressore. Esamina le modifiche recenti ai file nella root del documento. Esamina i log di accesso dell’hosting alla ricerca di richieste POST insolite verso wp-admin\/admin-ajax.php, wp-login.php, xmlrpc.php o endpoint specifici di plugin. Esamina l’elenco dei plugin alla ricerca di qualsiasi plugin con una vulnerabilit\u00e0 nota per la versione installata.<\/p>\n\n\n
Nel caso di studio di Sydney che abbiamo citato in articoli precedenti, il punto di ingresso era quasi certamente un plugin di gestione file obsoleto, con una lunga storia di vulnerabilit\u00e0 di esecuzione di codice da remoto. Individuarlo ha fatto la differenza tra correggere il sintomo e correggere la causa.<\/p>\n\n\n
Senza trovare il punto di ingresso, l’aggressore torner\u00e0 nel giro di giorni, spesso di ore.<\/p>\n\n\n
Con il punto di ingresso noto e l’istantanea forense conservata, inizia la pulizia. Rimuovi ogni file malevolo. Confronta i file del core di WordPress con le versioni ufficiali e sostituisci tutto ci\u00f2 che \u00e8 stato modificato. Controlla temi e plugin allo stesso modo. Verifica gli utenti e rimuovi qualsiasi account sconosciuto. Esamina il contenuto degli articoli alla ricerca di link o script iniettati. Esamina il database alla ricerca di chiavi di opzioni di malware note e di voci sospette in wp_options.<\/p>\n\n\n
Alcune compromissioni sono abbastanza estese da rendere la risposta giusta il ripristino da un backup pulito antecedente all’incidente, riapplicando solo le modifiche ai contenuti verificate da allora. Altre sono abbastanza circoscritte da rendere pi\u00f9 rapida una pulizia chirurgica.<\/p>\n\n\n
Correggi la vulnerabilit\u00e0 che ha fatto entrare l’aggressore. Se era un plugin obsoleto, aggiornalo o rimuovilo. Se era una password debole, la rotazione l’ha gi\u00e0 risolto, ma attiva la 2FA perch\u00e9 non possa succedere di nuovo. Se era un cookie di sessione rubato, hai gi\u00e0 ruotato chiavi e salt. Se era un’email di phishing che ha catturato un accesso amministratore, forma il team e verifica l’attivit\u00e0 di accesso alla ricerca di altri account compromessi.<\/p>\n\n\n
Applica un irrobustimento aggiuntivo che avrebbe impedito l’attacco:<\/p>\n\n\n
Una volta che il sito \u00e8 pulito, il lavoro non \u00e8 finito. Esegui una nuova scansione malware con almeno due strumenti affidabili per un riscontro incrociato. Invia una richiesta di riesame in Google Search Console se \u00e8 stata applicata un’azione manuale. Comunica con i clienti se qualche dato potrebbe essere stato esposto. Documenta cosa \u00e8 successo, la cronologia, il punto di ingresso e le modifiche apportate. Il documento \u00e8 destinato al tuo team e a qualsiasi audit futuro.<\/p>\n\n\n