Sito WordPress hackerato?
Ripristino tecnico e hardening
Redirect inattesi, pagine spam, amministratori sconosciuti o avvisi malware possono richiedere il ripristino tecnico del sito. Il nostro perimetro è il prodotto web: componenti affidabili, accessi, aggiornamenti, configurazione e recupero. Non svolgiamo digital forensics o attività di incident response.
Cosa fare subito
Un sito compromesso va ripristinato partendo da componenti affidabili, non cancellando file a caso finché la homepage torna apparentemente normale.
Se serve un'indagine forense, deve essere affidata a uno specialista prima di modificare l'ambiente. Il nostro lavoro parte dal ripristino tecnico del sito e dall'hardening della configurazione.
- Prima di modificare i file
Se devono essere preservate evidenze forensi, coinvolgi prima uno specialista. Il nostro perimetro parte dal ripristino tecnico del sito.
- Riduci gli accessi non necessari
Limita gli accessi amministrativi mantenendo disponibili le informazioni utili all'analisi.
- Parti da fonti affidabili
Core, plugin e temi vanno confrontati con copie pulite, ufficiali o comunque verificabili.
- Ruota le credenziali al momento giusto
WordPress, hosting, database e SSH o SFTP possono essere coinvolti in modo diverso a seconda di ciò che emerge.
Sintomi tecnici da controllare
Nessuno di questi sintomi dimostra la causa originaria, ma ognuno può giustificare un controllo dell'installazione WordPress, dell'hosting e degli accessi necessari al ripristino.
Redirect inattesi
Visitatori o motori di ricerca vengono inviati verso domini o pagine estranee.
Pagine spam nei risultati
Google indicizza contenuti mai pubblicati, spesso legati a gambling, farmaci o prodotti contraffatti.
Amministratori sconosciuti
Compaiono nuovi account amministrativi o modifiche ai privilegi senza un'azione autorizzata.
Avvisi malware
Browser, hosting o strumenti di sicurezza segnalano codice malevolo o download sospetti.
Modifiche non autorizzate
Plugin, temi, file o task schedulati cambiano senza una spiegazione legittima.
Blocco dell'hosting o dei motori
Il provider sospende il sito oppure un motore di ricerca lo segnala come pericoloso.
Questi controlli servono al ripristino tecnico del sito e non costituiscono un'analisi forense dell'attacco.
Come ripristiniamo il sito
L'intervento segue una sequenza tecnica concentrata su codice affidabile, accessi, aggiornamenti, configurazione e verifica del corretto funzionamento del sito.
Stabilizzazione del sito
Riduciamo gli accessi amministrativi non necessari e prepariamo una copia ripristinabile prima di ricostruire i componenti.
Ricostruzione da componenti affidabili
Sostituiamo core, plugin e temi interessati con copie pulite provenienti da fonti ufficiali o comunque affidabili.
Revisione di accessi e configurazione
Rimuoviamo account non autorizzati, ruotiamo le credenziali necessarie e rivediamo permessi e configurazione del sito.
Aggiornamento dello stack
Portiamo WordPress, plugin, temi e componenti runtime supportati a versioni mantenute, quando compatibile.
Hardening e verifica
Riduciamo esposizioni non necessarie, verifichiamo i backup e controlliamo i principali flussi del sito dopo il ripristino.
Verifiche tecniche
- Core WordPress, plugin e temi
- Utenti amministratori e modifiche ai privilegi
- File modificati, upload e PHP sospetto
- wp-config.php e punti di persistenza
- Web server, PHP e permessi filesystem
- Redirect e configurazione server
Dopo la bonifica
Il recupero è completo solo quando il sito è stato ripristinato da componenti affidabili, gli accessi sono stati verificati e sono state ridotte le condizioni che hanno reso possibile l'incidente.
- WordPress, plugin e temi supportati e aggiornati
- Accessi amministrativi e credenziali verificati
- Backup separati dal sito in produzione
- Configurazione del server e misure di sicurezza verificate
- Monitoraggio dopo il ripristino
Tre cose che eviterei
Reinstallare soltanto il plugin che sembra sospetto
Può eliminare un sintomo visibile lasciando attivo un altro meccanismo di persistenza o un account compromesso.
Ripristinare alla cieca l'ultimo backup
Un backup recente può contenere già la compromissione. Il punto di ripristino deve essere ragionevolmente affidabile.
Considerare risolto il caso perché il sito si apre
Una homepage normale non dimostra che il codice malevolo o gli accessi non autorizzati siano stati rimossi.
Riferimenti ufficiali WordPress
L'approccio descritto in questa pagina segue i principi di recupero e hardening documentati dal progetto WordPress.
Serve ripristinare il sito?
Possiamo ripristinare WordPress da componenti affidabili, rivedere accessi e configurazione, aggiornare lo stack e verificare il corretto funzionamento del sito. Per attività forensi o incident response serve un provider di sicurezza specializzato.