Sito WordPress violato o plugin rotto, come capire se c'è un intruso nel sistema?

Il motivo per cui i clienti vedono il problema e voi no è il filtraggio basato su User-Agent e Referer. Il codice PHP malevolo mostra la pagina pulita a chi accede direttamente, mentre reindirizza gli utenti che arrivano dalle ricerche di Google o da siti esterni. Controllate i file .htaccess e index.php nella root del server: in cima troverete frammenti di codice offuscato con eval, base64_decode o inclusioni di file remoti.

Per risolvere la situazione senza cancellare le prove seguite questi passaggi: 1) Dal pannello di controllo dell'hosting scaricate subito in locale gli ultimi 30 giorni di access.log grezzi. 2) Eseguite un dump completo del database via phpMyAdmin. 3) Verificate la data di creazione dell'utente sospetto nella tabella wp_users. 4) Filtrate i log di accesso in quell'intervallo di tempo per risalire a quale file PHP o vulnerabilità è stata inviata la richiesta POST.

L'anno scorso è successa la stessa cosa al nostro ecommerce di ricambi a Hannover. Il programmatore ci ha tenuti fermi cinque giorni dicendo che era un bug della cache. Quando Google ha inserito l'avviso di sicurezza, il nostro flusso di ordini da 4.000 EUR a settimana è crollato a zero all'istante. Ci siamo affidati a specialisti per la bonifica spendendo 850 EUR, ma ci sono volute sei settimane per rimuovere la penalizzazione sui motori di ricerca e recuperare il fatturato. Non perdete tempo.

La tesi del programmatore secondo cui l'aggiornamento del plugin ha corrotto il database non regge assolutamente. Un plugin difettoso non crea utenti admin abusivi né inietta parole chiave estranee nelle SERP di Google. O ha installato un plugin da fonti non ufficiali (magari nulled) oppure non vuole ammettere la falla. Fate fare una perizia a un professionista terzo e indipendente.

La cosa più urgente da fare adesso è mettere il sito in modalità manutenzione. Se gli utenti vengono reindirizzati al momento del pagamento, c'è il forte rischio che stiano rubando i dati delle carte di credito. Tentare di ripulire i file col sito online mette solo in pericolo i clienti. Dal pannello di controllo dell'hosting bloccate tutto il traffico esterno e consentite l'accesso solo all'IP del vostro ufficio.

aprite subito la cartella uploads via ftp e cercate i file php. lì dentro ci devono stare solo immagini e pdf, nient'altro e appena li trovate cancellateli e piazzate dentro un haccess ke blocca l'esecuzione dei php. altrimenti anke se ripulite tutto domattina il sito torna a essere uno zombie.

Su che tipo di infrastruttura hosting gira il sito? Siete su un server condiviso o avete un VPS dedicato? Se sullo stesso account gestite più domini o siti di staging, è possibile che gli attaccanti siano entrati dai file di un vecchio sottodominio abbandonato per poi risalire alla root principale? Ci sono tracce di questi accessi incrociati nei log?

Avete indicato la presenza di redirect anomali durante il checkout. Qualora dati di carte di credito o informazioni personali dei clienti siano finiti a terzi, le normative sulla protezione dei dati vigenti in Germania impongono l'obbligo di notifica all'autorità di controllo competente entro 72 ore. Vi consiglio di non trattare l'accaduto come un banale guasto tecnico, bensì di valutarne i risvolti legali e di conservare i log secondo standard di digital forensics.

Grazie per aver scritto.

Questo thread è archiviato.

Ha ragione.

Riassumo quanto detto finora. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Se non ho capito male, stai dicendo che: Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Quando decidiamo senza misurare, finiamo sempre nello stesso punto. Se scrivete qui il risultato, sarà utile anche ad altri.

non lo sapevo. comunque se il percrso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Assolutamente. Se devo aggiungere qualcosa: Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Correggetemi se sbaglio.

Vi spiego come si fa in pratica. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. Se avete domande, scrivete, rispondo per quanto possibile.

Breve riassunto per i nuovi arrivati: Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Naturalmente cambia se la vostra situazione è diversa.

C'è una trappola qui non posso non segnalarla. Cercare di farlo da soli è la strada più costosa.

Quando prendi una decisione, guarda prima quali dati hai a disposizione. È tutto, scusate se mi sono dilungato.