«L’avevamo già pulito, ma è tornato tutto come prima.» Tra le richieste che ricevo sui siti compromessi, questa è forse la più frustrante per chi la vive. Il motivo è quasi sempre lo stesso: chi è entrato nel sito ha lasciato una o più porte di servizio, le cosiddette backdoor, e la pulizia non le ha trovate tutte.
Cos’è una backdoor
Una backdoor è un modo nascosto per rientrare nel sito senza passare dalla porta principale. Può essere un piccolo file che sembra parte di WordPress, un utente amministratore con un nome innocuo, un’istruzione nella banca dati o un’operazione pianificata che ricrea i file cancellati.
Chi attacca un sito ne lascia spesso più di una, proprio perché sa che qualcuna verrà trovata.
Dove si nascondono
| Dove | Esempio |
|---|---|
| File con nomi «credibili» | Un file che imita un componente di WordPress o di un plugin |
| Cartella delle immagini | Codice eseguibile in mezzo a foto e documenti caricati |
| Estensioni | Un plugin aggiunto, a volte nascosto dall’elenco, o un plugin legittimo modificato |
| Banca dati | Utenti amministratori in più, opzioni modificate, codice nei contenuti |
| Operazioni pianificate | Attività automatiche che ricreano i file a intervalli regolari |
| Altri siti sullo stesso hosting | Un vecchio sito dimenticato nello stesso spazio che reinfetta quello nuovo |
L’ultima riga è la più sottovalutata
Un sito di prova abbandonato, una vecchia versione in una sottocartella, un’installazione mai usata: se condividono lo stesso spazio di hosting, basta uno per reinfettare tutti gli altri.
Perché i plugin «antivirus» da soli non bastano
Gli strumenti di scansione sono utili per trovare i problemi noti, ma le backdoor più curate sono scritte apposta per non essere riconosciute. E una scansione non cambia le password, non chiude la falla da cui è entrato l’attacco e non controlla gli altri siti sullo stesso hosting.
Come si fa una pulizia che dura
- Analisi: capire cosa è stato modificato, quando e, se possibile, da dove è entrato l’attacco.
- Ricostruzione da fonti pulite: WordPress, tema ed estensioni reinstallati dai file originali, non «ripuliti» a mano uno per uno.
- Contenuti e banca dati: recuperare testi e immagini, controllando che non contengano codice estraneo.
- Tutte le chiavi nuove: password di WordPress, hosting, FTP, banca dati ed email, chiavi di sicurezza di WordPress.
- Utenti e operazioni pianificate: eliminare tutto ciò che non è riconosciuto.
- Gli altri siti sullo stesso hosting: controllarli o rimuoverli.
- Protezione e controllo: aggiornamenti, misure di sicurezza e un monitoraggio dei file nelle settimane successive, per accorgersi subito se qualcosa ricompare.
? Pulizia rapida
Tolgo ciò che vedo
Il sito sembra a posto per qualche giorno, poi il problema ricompare.
✓ Pulizia completa
Ricostruisco e controllo
Richiede più lavoro all’inizio, ma il sito resta pulito e sapete cosa è successo.
Come vi aiuto
Ho esperienza nella pulizia di siti WordPress che continuano a reinfettarsi, anche quando altri interventi non sono bastati e anche per siti che non ho realizzato io. Lavoro con il metodo descritto qui sopra e vi lascio un riepilogo di cosa è stato trovato e cosa è stato cambiato.
Il vostro sito continua a reinfettarsi?
Analizzo il sito e l’hosting, ricostruisco da fonti pulite e controllo che il problema non torni.
