Wordfence: Come Ripulire un Sito WordPress Hackerato
Scoprire che il tuo sito WordPress e stato hackerato e una esperienza spaventosa e stressante. Che si tratti di redirect malevoli, pagine di spam, malware nascosto o un completo defacement, la cosa piu importante e agire rapidamente e con metodo per ripulire il sito, eliminare ogni traccia della compromissione e prevenire futuri attacchi. Wordfence e uno degli strumenti piu efficaci per questa operazione. In questa guida completa, ti guideremo attraverso ogni fase del processo di pulizia e ripristino di un sito WordPress compromesso.
Segnali che Indicano un Sito Hackerato
Prima di procedere con la pulizia, e importante riconoscere i segnali di una compromissione. Ecco i sintomi piu comuni:
- Redirect non autorizzati: i visitatori vengono reindirizzati verso siti di spam, phishing o contenuti per adulti
- Contenuti spam: pagine o articoli con contenuti farmaceutici, gioco di azzardo o altri temi non correlati al tuo sito
- Avvisi del browser: Google Chrome o Firefox mostrano avvisi di sicurezza quando si accede al sito
- Calo improvviso del traffico: Google potrebbe aver rimosso il sito dai risultati di ricerca
- Account amministratore sconosciuti: nuovi utenti con privilegi elevati che non hai creato tu
- File sconosciuti sul server: file PHP con nomi casuali nelle directory del sito
- Modifiche al file .htaccess: regole di redirect aggiunte senza la tua autorizzazione
- Email di spam inviate dal server: il tuo hosting ti segnala invio massivo di email
- Rallentamento del sito: il server consuma risorse anomale a causa di script malevoli
Fase 1: Preparazione e Valutazione
Non Andare nel Panico
La prima regola e mantenere la calma e procedere con metodo. Azioni affrettate, come cancellare file a caso o reinstallare WordPress senza un piano, possono peggiorare la situazione e rendere piu difficile la pulizia completa.
Mettere il Sito in Manutenzione
Se il sito sta distribuendo malware ai visitatori o effettuando redirect malevoli, considera di metterlo temporaneamente offline o in modalita manutenzione. Questo protegge i tuoi visitatori mentre effettui la pulizia.
Creare un Backup Completo
Prima di iniziare qualsiasi operazione di pulizia, crea un backup completo del sito nella sua condizione attuale (anche se compromesso). Questo backup ti servira come riferimento nel caso in cui la pulizia elimini accidentalmente contenuti legittimi.
Fase 2: Installare o Aggiornare Wordfence
Se Wordfence non e gia installato sul tuo sito, installalo immediatamente. Se e gia presente, assicurati che sia aggiornato alla versione piu recente. Un Wordfence aggiornato dispone delle ultime firme malware e puo identificare le minacce piu recenti.
Fase 3: Eseguire una Scansione ad Alta Sensibilita
Per un sito potenzialmente compromesso, la scansione standard non e sufficiente. Devi eseguire una scansione ad alta sensibilita che analizzi ogni file presente sul server:
- Vai su Wordfence > Scan
- Clicca su Scan Options and Scheduling
- Seleziona High Sensitivity come tipo di scansione
- Abilita tutte le opzioni di scansione aggiuntive, inclusa la analisi dei file di immagine
- Avvia la scansione e attendi il completamento
La scansione ad alta sensibilita richiede piu tempo ma e essenziale per identificare tutte le tracce della compromissione, incluse backdoor nascoste e file malevoli con nomi che imitano file legittimi.
Fase 4: Analizzare i Risultati della Scansione
Al termine della scansione, Wordfence prestera un rapporto dettagliato. Analizza ogni risultato con attenzione, concentrandoti su:
File del Core Modificati
Se file del core di WordPress sono stati modificati, e un segnale chiaro di compromissione. Utilizza la funzione Restore Original File per ripristinarli alla versione originale. Non tentare di modificare manualmente i file infetti: e piu sicuro sostituirli completamente.
File Sconosciuti
I file che non appartengono alla installazione standard di WordPress, ai temi o ai plugin sono i candidati piu probabili per backdoor e shell PHP. Esamina il contenuto di questi file prima di eliminarli. I file malevoli spesso contengono codice offuscato con funzioni come base64_decode, eval, str_rot13 o gzinflate.
Plugin e Temi Infetti
Se un tema o un plugin risulta compromesso, la soluzione piu sicura e eliminarlo completamente e reinstallarlo dalla fonte ufficiale. Non limitarti a ripristinare i singoli file: il malware potrebbe essersi diffuso in piu file dello stesso plugin.
Fase 5: Rimozione delle Backdoor
Le backdoor sono la parte piu insidiosa di una compromissione. Anche dopo aver rimosso il malware visibile, le backdoor permettono agli attaccanti di riottenere il controllo del sito. Le backdoor piu comuni si nascondono in:
- File con nomi simili ai file di sistema: come
wp-config-backup.phpoclass-wp-cache.php - Directory di upload: file PHP nella cartella
wp-content/uploads/ - File di temi inattivi: spesso trascurati durante la pulizia
- File functions.php modificato: con codice aggiuntivo alla fine del file
- Database: codice malevolo inserito nelle tabelle delle opzioni o nei contenuti
Fase 6: Cambiare Tutte le Credenziali
Dopo aver rimosso il malware e le backdoor, e essenziale cambiare tutte le credenziali di accesso. Gli attaccanti potrebbero aver catturato le password durante la compromissione:
- Password di tutti gli utenti WordPress: forza il reset per tutti gli account, non solo per gli amministratori
- Password del database: cambia la password del database e aggiorna il file
wp-config.php - Password FTP e SSH: modifica le credenziali di accesso al server
- Chiavi di autenticazione di WordPress: rigenera le chiavi SALT nel file
wp-config.phputilizzando il generatore ufficiale di WordPress - Password del pannello hosting: cambia anche le credenziali di accesso al pannello di controllo
Fase 7: Controllare gli Utenti
Verifica la tabella degli utenti nel database alla ricerca di account non autorizzati:
- Vai su Utenti > Tutti gli utenti nel pannello WordPress
- Controlla che non ci siano account amministratore che non riconosci
- Verifica che nessun utente con ruolo di sottoscrittore sia stato elevato a ruoli superiori
- Elimina immediatamente qualsiasi account sospetto
Fase 8: Aggiornare Tutto
Dopo la pulizia, aggiorna tutti i componenti del sito alla versione piu recente:
- WordPress core: installa la versione piu recente
- Tutti i plugin: aggiorna alla versione piu recente o elimina quelli non necessari
- Tutti i temi: aggiorna il tema attivo e elimina i temi inattivi
- PHP: aggiorna alla versione piu recente supportata dal tuo hosting
Fase 9: Hardening Post-Pulizia
Una volta completata la pulizia, implementa misure di hardening per prevenire future compromissioni:
- Attiva la autenticazione a due fattori per tutti gli utenti privilegiati
- Configura il firewall di Wordfence in modalita protezione completa
- Disabilita la modifica dei file dal pannello WordPress aggiungendo
define( DISALLOW_FILE_EDIT , true);al filewp-config.php - Proteggi il file wp-config.php impostando i permessi a 400 o 440
- Disabilita XML-RPC se non lo utilizzi
- Programma scansioni regolari con Wordfence
- Configura le notifiche email per essere avvisato immediatamente di qualsiasi anomalia
Fase 10: Ripristinare la Reputazione
Se il tuo sito e stato inserito in una lista nera da Google o da altri servizi di sicurezza, dovrai richiedere una revisione dopo la pulizia:
- Google Search Console: se il sito e stato segnalato, vai su Search Console e richiedi una revisione nella sezione Problemi di sicurezza
- Google Safe Browsing: dopo la pulizia, Google rimuovera automaticamente gli avvisi entro 72 ore dalla revisione positiva
- Servizi antimalware: se il sito e stato inserito in liste nere di servizi come Norton, McAfee o Sucuri, contatta ciascun servizio per richiedere la rimozione
Prevenire Future Compromissioni
La pulizia di un sito hackerato e solo il primo passo. Per evitare che il problema si ripeta, e fondamentale implementare una strategia di sicurezza completa che includa:
- Backup automatici regolari con conservazione di almeno 30 giorni
- Aggiornamenti tempestivi di WordPress, plugin e temi
- Monitoraggio continuo con Wordfence
- Politiche di password robuste per tutti gli utenti
- Hosting sicuro con isolamento degli account
Se il tuo sito e stato compromesso e hai bisogno di assistenza professionale per la pulizia e il ripristino, contattaci immediatamente. Il nostro team di esperti in sicurezza informatica puo intervenire rapidamente per ripulire il sito, eliminare ogni traccia di malware e implementare le protezioni necessarie per prevenire futuri attacchi.