Malware e backdoor WordPress: sintomi reali

Il malware WordPress non è sempre visibile. Le backdoor in particolare sono progettate per essere invisibili: permettono agli attaccanti di rientrare nel sito anche dopo che hai cambiato le password. Ecco i sintomi reali da cercare.

Cos’è una backdoor WordPress

Una backdoor è un pezzo di codice nascosto nel sito che permette accesso non autorizzato, indipendentemente dalle password. Viene iniettato dopo un attacco iniziale e sopravvive spesso anche al ripristino parziale del sito.

Sintomi di malware e backdoor

Redirect inaspettati

Il sito reindirizza i visitatori (specialmente quelli da mobile o da Google) verso siti di spam, farmaceutici o porno. Tu non vedi il redirect perché sei loggato come admin o hai i cookie del sito.

Pagine spam indicizzate da Google

Cerca su Google: site:tuodominio.com. Se trovi pagine che non hai creato (es. farmaci, scarpe di marca, casinò), il sito è stato usato per “SEO spam”.

File PHP in wp-content/uploads

La cartella uploads dovrebbe contenere solo immagini e documenti. Trova file PHP in questa cartella: find /path/to/wp-content/uploads -name "*.php". Ogni file PHP trovato è quasi certamente una backdoor.

Codice offuscato nei file tema

Apri functions.php del tema con un editor di testo. Cerca stringhe come eval(base64_decode(... o preg_replace('/.*/e',...: sono pattern tipici di malware.

Utenti admin sconosciuti

Utenti WordPress → Controlla tutti gli utenti con ruolo Amministratore. Se ce n’è uno che non riconosci, è una compromissione.

Rimozione malware: perché non basta cancellare i file

Il malware spesso si installa in più punti contemporaneamente: file PHP, database WordPress, file .htaccess. Una pulizia parziale lascia parti attive. La procedura corretta richiede ripristino da backup + cambio credenziali + audit completo.

GiBiLogic rimuove malware e backdoor da siti WordPress per PMI bresciane. Contattaci.