Virus e malware WordPress: cinque minacce da distinguere
- Wordpress
- 3 febbraio 2023
Indice dei contenuti
Quando un sito mostra pagine estranee o redirect, si parla spesso di “virus WordPress”. È un modo comune di descrivere il problema, ma malware, phishing, redirect e injection non sono sinonimi. Distinguere software malevolo, tecnica d’attacco e conseguenza aiuta a capire quali controlli servono.
I cinque casi descritti qui sono categorie utili per orientarsi, non una classifica dei problemi più diffusi: non ci sono dati di prevalenza a supporto di quella graduatoria. Se l’incidente è in corso, parti dalla guida su sito hackerato: cosa fare subito.
Cinque minacce WordPress: cosa significano e cosa verificare
| Termine | Che cosa descrive | Verifica da impostare |
|---|---|---|
| Malware e backdoor | Codice malevolo e meccanismi per mantenere un accesso abusivo. | File, database, account e attività pianificate. |
| Phishing | Contenuti ingannevoli per raccogliere dati o credenziali. | Pagine, moduli e destinazioni dei dati. |
| Redirect malevoli | Un comportamento che manda i visitatori su destinazioni non autorizzate. | Condizioni della richiesta, script e configurazioni. |
| Code injection | Una tecnica che introduce codice eseguibile nell’applicazione. | Punto d’ingresso e gestione dei dati non attendibili. |
| SQL injection | Una tecnica che altera le query attraverso input non gestiti correttamente. | Codice vulnerabile, query e dati coinvolti. |
Queste categorie possono sovrapporsi: una vulnerabilità può consentire l’inserimento di una backdoor, usata poi per pubblicare pagine di phishing. Non si tratta necessariamente di cinque incidenti distinti.
Malware e backdoor: cercare anche gli accessi persistenti
Una webshell è uno script che può consentire operazioni sul server attraverso richieste web. Può essere mascherata con un nome plausibile, ma il nome da solo non dimostra la sua funzione. Occorre esaminare codice, provenienza e comportamento.
La bonifica deve verificare anche ciò che permette all’attaccante di rientrare: utenti creati senza autorizzazione, credenziali esposte, attività pianificate o altri componenti alterati. Rimuovere il sintomo non equivale a chiudere l’accesso.
La guida alla bonifica di un sito WordPress con malware descrive il percorso dall’indagine alla verifica del ripristino.
Phishing e redirect: controllare ciò che vede il visitatore
Una pagina abusiva può imitare un servizio per raccogliere informazioni, mentre un redirect può portare l’utente fuori dal sito. I comportamenti possono dipendere dalla pagina, dalla provenienza o dalla sessione: aprire soltanto la homepage non basta.
Conserva indirizzi, orari e schermate senza compilare moduli sospetti. Non chiedere ai clienti di superare gli avvisi del browser. Se sono coinvolti dati personali, la valutazione va avviata insieme al contenimento tecnico.
Quando compaiono testi estranei nei motori di ricerca, l’approfondimento sui caratteri giapponesi e cinesi nei risultati Google mostra un caso specifico di spam su un sito compromesso.
Code injection e SQL injection: correggere la vulnerabilità
La code injection riguarda l’introduzione di codice che viene interpretato dall’applicazione. La SQL injection riguarda invece input capaci di alterare le istruzioni inviate al database. Sono tecniche d’attacco, non nomi di virus da cercare in una cartella.
La documentazione OWASP sulla SQL injection descrive il rapporto tra input e query. La soluzione richiede di correggere il componente vulnerabile: può trattarsi di un aggiornamento, della sostituzione di un’estensione o di un intervento sul codice personalizzato. Le query parametrizzate sono una misura di prevenzione per la SQL injection; eliminare record sospetti non corregge il codice che ha permesso di inserirli.
Non provare attacchi sul sito pubblico per verificare una vulnerabilità: la valutazione tecnica deve essere autorizzata, delimitata e svolta con strumenti adeguati.
Perché una scansione non chiude da sola la diagnosi
Uno scanner può trovare indicatori utili, ma il risultato dipende da ciò che esamina. Un controllo esterno non vede necessariamente file, account o dati non esposti pubblicamente. Anche un esito senza rilevamenti va letto entro quel perimetro.
Per richiedere assistenza WordPress, indica i sintomi e gli avvisi ricevuti. Posso valutare quali verifiche servono per distinguere la conseguenza visibile dal punto d’ingresso e pianificare la bonifica.
