Argomenti:

• verificare la compromissione;
• operazioni preliminari necessarie;
• ripristinare file e database;
• verifica post-bonifica e consigli.

 

Verificare la compromissione

Quando hai il sospetto di una intromissione o rilevi file di dubbia provenienza o malevoli, puoi procedere alla bonifica del CMS seguendo la guida sotto riportata.
Se hai bisogno di informazioni su come rilevare attacchi o di consigli di prevenzione, consulta questa guida. Una volta accertata la compromissione scegli tra due soluzioni per ristabilire la corretta funzionalità del sito:

• ripristinare una copia di backup pulita;
• eseguire le operazioni di bonifica se non hai a disposizione i dati sopra indicati.

Nei paragrafi seguenti ti riportiamo i passaggi da effettuare in ordine per ripristinare il sito se non disponi di una copia del sito pulita.

 

Operazioni preliminari necessarie

• annota la versione di WordPress che stai usando; se non hai l'accesso al pannello di amministrazione di WordPress consulta la guida dedicata;
• annota il tema usato e l'elenco dei plugin attivi; se non hai l'accesso al pannello di amministrazione di WordPress utilizza il presente script.
  Attenzione: se visualizzando il sito compare il messaggio "sito web in manutenzione" non puoi eseguire lo script ma puoi recuperare le informazioni direttamente dal database seguendo le operazioni seguenti:
  1. prima di tutto individua il database utilizzato dalla tua installazione di WordPress ed accedi al pannello mysql.aruba.it con i dati recuperati;
  2. per individuare il tema, segui questi passaggi;
  3. per individuare i plugins attivi, una volta fatto accesso al pannello mysql.aruba.it, vai su SQL e inserisci la query sottostante (avendo cura di sostituire "prefix" con il valore di "$table_prefix" indicato nel file wp-config.php) e vai su Esegui:
     
     SELECT option_value FROM prefix_options where option_name LIKE 'active_plugins';
     
     La colonna option_value è l'elenco dei plugins attivi e, tra i vari parametri, sono elencati i nomi dei plugins.

 

Ripristinare file e database

1. accedi via FTP al tuo spazio web e scarica tutto il contenuto nel tuo PC locale.
2. effettua il reset dello spazio web seguendo la guida dedicata.
3. scarica la versione di WordPress utilizzata dal sito ufficiale; se la versione che utilizzi è obsoleta, scaricala dal seguente link https://wordpress.org/news/category/releases/ in questo modo hai la certezza di utilizzare una versione pulita.
4. scarica il tema ed i plugin utilizzati dal sito (l'elenco che hai rilevato con le operazioni preliminari); se il tema non è presente nell'elenco ufficiale WordPress, richiedi il pacchetto al venditore dello stesso. Per quanto riguarda i plugin fai riferimento al sito ufficiale.
5. pubblica sullo spazio web, tramite FTP, la versione di WordPress appena scaricata (punto 4).
6. modifica il file wp-config-sample.php sullo spazio web soltanto con i parametri del database utilizzato in precedenza. Puoi modificare il file tramite FTP o File Manager ed i parametri sono recuperabili dal backup eseguito al punto 1.
   I campi che, all'interno del file identificano il database, sono i seguenti:
   
   /** Il nome del database di WordPress */
   define('DB_NAME', 'Sql123456_1');
   
   /** Nome utente del database MySQL */
   define('DB_USER', 'Sql123456');
   
   /** Password del database MySQL */
   define('DB_PASSWORD', '123456');
   
   $table_prefix='wp_';
   
   Una volta impostati i dati di connessione al database, rinomina il file in wp-config.php
   È molto importante non utilizzare il wp-config.php dal backup ma crearlo nuovo come da istruzioni sopra modificando soltanto i parametri necessari in modo da mantenerlo pulito ed evitare di ripubblicare eventuali malware.
7. pubblica sullo spazio web, tramite FTP, la cartella "wp-content/uploads" presa dal backup eseguito al punto 1.
   Questa cartella contiene tutte le immagini ed eventuali file .pdf inseriti dall'utente ed è l'unica che deve essere recuperata dal backup dopo aver verificato accuratamente che non ci siano file con estensione .php che potrebbero essere malevoli.
   
   Questa operazione consente alle pagine del sito di avere a disposizione le immagini e i contenuti creati prima dell'attacco.
8. pubblica sullo spazio web, tramite FTP, all'interno della cartella "wp-content/themes" il tema originale scaricato al punto 5.
9. pubblica sullo spazio web, tramite FTP, all'interno della cartella "wp-content/plugins" i plugins originali scaricati al punto 5.

 

verifica post-bonifica e consigli

1. esegui un test di funzionalità: verifica che il sito si visualizzi correttamente e prova l'accesso al pannello di amministrazione di WordPress.
   Se non utilizzi l'ultima versione di WordPress ti consigliamo di eseguire l'upgrade, poichè le versioni più recenti risolvono problemi di vulnerabilità risultando più sicure e performanti.
2. Ti consigliamo di eseguire il cambio della password associata allo username (del tipo [email protected]) ed cambio della password dell'utente amministratore di WordPress seguendo i passaggi:
   1. accedi al pannello di amministrazione di WordPress e quindi alla Bacheca;
   2. vai su Utenti --> Il tuo profilo;
   3. scorri in basso fino a trovare la voce Nuova password;
   4. vai sul bottone Genera password e inserisci la nuova password.
3. Ti consigliamo inoltre di installare una plugin di autenticazione a due fattori per l'accesso al pannello di amministrazione di WordPress, ad esempio Wordfence Login Security.