Ripristinare un sito WordPress compromesso

WordPress è il CMS più usato in tutta la rete, per questo è una delle vittime preferite degli hackers che spesso piratano i siti costruiti con esso per vari scopi, dalla creazione di reti di server asserviti per attacchi DDOS, o per spamming e phishing, o per dirottare traffico e acquisire dati personali.

Recentemente mi è stata chiesta una consulenza per recuperare un sito WordPress compromesso, che operava redirect su siti porno e altre piacevolezze di questo tipo. Ho messo in pratica alcune cose che intendo condividere qui, come buone pratiche da seguire e condividere.

In molti casi, questa sequenza di operazioni permette anche di recuperare un sito malfunzionante a causa di plugin o temi corrotti o malfunzionanti.

1) Recuperare un backup sano

Sembra una sciocchezza, ma la pratica più veloce sarebbe quella di fare un ripristino da un backup pulito, in modo da partire da una soluzione ottimale. Molti provider offrono di serie il backup almeno mensile di file e DB, altri lo offrono a pagamento. In questo caso pagate e attivate il servizio il prima possibile, saranno soldi ben spesi.

Vale anche la pena pensare a un plugin che introduca una funzione di backup periodico, e che salvi i backup all'esterno del vostro server, nel malaugurato caso che succeda qualcosa alla macchina stessa.

Un plugin che mi pare molto valido è UdraftPlus, io lo uso per programmare backup periodici che poi vengono caricati sul mio account Dropbox, che quindi li sincronizza automaticamente col mio computer.

2) Controllare se ci sono file strani

È buona regola cominciare ispezionando, via FTP o via il vostro file manager, i file del core di WordPress, cercando eventuali file inusuali che non si trovano nella normale installazione di WordPress. Conviene anche confrontare la grandezza dei file: se un file abituale ha assunto un peso più grande, ci sta che vi sia stato aggiunto codice malevolo. Spesso poi il codice pirata è offuscato, e non leggibile se aprite i file .php. Se vedete cose simili siete sicuri che il sistema è stato violato.

3) Ripristino del core di WordPress

Se non siete sicuri della qualità dei file del core, si possono sostituire tutti i file con una versione pulita.

Se non vi ricordate la versione di wordpress installata seguite questa guida per scoprire qual è, ma in genrale basta guardare nel file version.php che sta nella directory wp-includes.

Andate su wordpress.org e scaricate la versione corrispondente alla vostra. Ovviamente se avete l'ultima è tutto più diretto.

Assicuratevi di avere un backup dei file sul server, anche se infetti. È bene in ogni fase fare un backup perché, veramente, non si sa mai cosa possa andare storto.

Una volta eseguito questo, cancellate tutti i file MENO la directory "wp-content" e il file "wp-config.php". Il vostro sito, inteso come contenuti, aspetto, plugin e immagini sta tutto nel content.

Ricaricate sul server i file puliti che avete scaricato dal sito ufficiale, TRANNE, ovviamente, "wp-content" e "wp-config.php". Alla fine del processo il sito ripartirà, o segnalerà con precisione degli errori che possono permettere di capire se qualche plugin è colpevole.

In ogni caso, partiremo da una base pulita e sicura, pronti per passare alla fase successiva.

4) Controllo dei plugin

Se i sintomi malevoli persistono, si può passare alla fase successiva.

Tenete presente che in quasi il 60% dei casi i crack o i malfunzionamenti risiedono nei plugin.

Sempre accedendo ai file sul server, cambiate nome alla directory plugins che trovate in wp-content. Così facendo avrete disattivato tutti plugin.

Controllate di nuovo il sito. Se i sintomi sono spariti la causa è uno dei plugin.

Basta a questo punto rinominare la cartella col nome originario (plugins), entrare nel backend di WordPress e riattivarli uno per uno, finché i sintomi non ritornano. A quel punto sapremo quale plugin è il colpevole, e potremo ripristinarlo scaricandolo nuovo dal sito dello sviluppatore e sostituendo i file sul server, cancellando così i file craccati.

È buona regola non far invecchiare i plugin ma aggiornarli appena possibile, perché oltre a inserire nuove funzioni gli sviluppatori correggono le vulnerabilità via via che vengono scoperte.

5) Controllo dei temi

Lo stesso procedimento può essere seguito coi temi (che stanno in wp-content/themes). Provate a sostituire il tema in uso con un altro. Se i problemi svaniscono bisognerà ripristinare i file del tema corrotti.

6) Infine…

A questo punto aggiornate tutti plugin che hanno aggiornamenti disponibili. Attivate tutte le opzioni di aggiornamento automatico per plugin, temi e core di Wordpress.

Se non ne disponete, considerate l'installazione di un plugin per la sicurezza del sito, tipo WordFence o All In One WP Security, che anche nelle loro versioni base posso aiutarvi a mettere e mantenere in sicurezza il vostro sito bonificato.

Se siete interessati a queste cose o avete bisogno di una consulenza per il vostro sito, contattatemi e sarò ben felice di aiutarvi.

Avete un sito che è stato craccato, o ne avete il sospetto? Chiamatemi per un consulto.