Checklist di rimozione malware WordPress per siti aziendali

Che cos'è

La rimozione del malware è il processo con cui si individuano e si eliminano codice dannoso, accessi non autorizzati e meccanismi di persistenza da un'installazione WordPress e dal relativo ambiente di hosting, per poi ripristinare un funzionamento normale e affidabile. Riguarda quattro aree: il file system (core, temi, plugin, upload e file di configurazione), il database (opzioni, articoli, utenti ed eventuali tabelle personalizzate), l'account di hosting (utenti FTP/SFTP, cron job, altri siti sullo stesso account) e i servizi esterni (DNS, CDN, email e presenza nei motori di ricerca). Il lavoro è completo solo quando la via d'accesso è stata individuata, per quanto consentito dalle evidenze disponibili, e chiusa; in caso contrario la reinfezione è probabile.

Per Chi È

Questa checklist è utile per:

• Proprietari di siti che devono capire che cosa comporta una bonifica adeguata prima di commissionarla
• Agenzie che gestiscono siti di clienti e desiderano uno standard di bonifica coerente
• Team il cui sito era già stato "ripulito" ma è stato infettato di nuovo
• Manager che devono verificare che il report di un fornitore copra tutti i livelli rilevanti

Cosa Aiuta A Chiarire

Seguire la checklist aiuta a chiarire:

• Quali parti dell'installazione possono essere sostituite con copie integre note e quali richiedono una revisione manuale
• Se i meccanismi di persistenza, come utenti nascosti o attività pianificate, sono stati rimossi
• Quale è stato il probabile punto di ingresso e se è stato chiuso
• Quali misure di hardening devono seguire per ridurre la probabilità che il problema si ripeta

Cosa è incluso

• Preparazione: eseguire un backup completo dello stato attuale, lasciare intatti i backup precedenti e annotare data e ora
• File core: sostituire il core di WordPress con una copia nuova della stessa versione dalla fonte ufficiale, quindi aggiornare alla release corrente una volta che il sito è stabile
• Plugin e temi: reinstallarli da fonti attendibili; rimuovere tutto ciò che è inutilizzato, abbandonato o ottenuto da fonti non ufficiali
• Cartella upload: cercare file eseguibili dove dovrebbero esserci solo contenuti multimediali
• Configurazione: esaminare wp-config.php e i file di configurazione del server, come .htaccess, alla ricerca di regole o reindirizzamenti iniettati
• Database: cercare in opzioni, articoli e widget script iniettati o URL non riconosciuti
• Utenti: esaminare ogni amministratore ed editor; rimuovere gli account sconosciuti e reimpostare le password restanti
• Attività pianificate: controllare gli eventi cron di WordPress e i cron job dell'hosting alla ricerca di elementi non riconosciuti
• Credenziali: rinnovare le credenziali di hosting, database, SFTP e le chiavi API, e rigenerare i security salt di WordPress
• Punto di ingresso: aggiornare o rimuovere il componente vulnerabile, correggere gli accessi deboli e sistemare i permessi dei file
• Verifica: ripetere la scansione, controllare le pagine sia come visitatore autenticato sia come anonimo e richiedere la revisione di eventuali avvisi dei motori di ricerca o dei browser
• Hardening: attivare la MFA per gli amministratori, limitare l'accesso amministrativo, pianificare gli aggiornamenti e impostare il monitoraggio delle modifiche ai file

Cosa non è incluso

• Istruzioni a livello di comando per la rimozione del malware destinate a personale non formato che opera su un sito in produzione
• L'affermazione che una scansione senza risultati significhi che il sito è pulito
• Valutazioni legali sulla notifica di violazioni o sulle responsabilità
• Il monitoraggio continuativo dopo la bonifica, salvo accordo separato

Quando sceglierlo

Utilizzi questa checklist dopo i passaggi iniziali di contenimento, una volta disponibile un backup dello stato attuale e ottenuto il controllo degli account principali. È utile anche come checklist di accettazione quando un fornitore comunica che la bonifica è terminata: chieda quali punti sono stati coperti e che cosa è stato trovato. Se dati personali dei clienti, dati di pagamento o credenziali di accesso potrebbero essere stati esposti, coinvolga chi è responsabile degli obblighi in materia di privacy e legali. Questo articolo fornisce informazioni generali e non costituisce consulenza legale.

Il nostro approccio

Proceda dall'esterno verso l'interno e da ciò che è noto e integro a ciò che è sconosciuto. Sostituisca con copie pulite ciò che può essere sostituito, quindi dedichi il tempo di revisione a ciò che è specifico del Suo sito: temi personalizzati, upload e contenuti del database. Registri ogni modifica, perché questa documentazione aiuta a spiegare l'incidente agli interlocutori e supporta le decisioni successive. Non riapra il sito al traffico normale finché la verifica non è completa e pianifichi l'hardening come parte del lavoro anziché come un ripensamento. Il nostro servizio Incident Recovery copre il contenimento, la rimozione di codice dannoso, backdoor e utenti non autorizzati, il ripristino sicuro e la chiusura del punto di ingresso individuato, con un report scritto e raccomandazioni di hardening. Una volta risolto il problema immediato, un incarico di hardening del sito web con perimetro definito separatamente può affrontare la configurazione più ampia, la disciplina degli aggiornamenti e i controlli di accesso. Conservi il report di bonifica insieme alla documentazione del sito; sarà utile se dovesse ripresentarsi qualcosa di simile.

servizio Incident Recovery

Domande frequenti

Articoli correlati