Come trovare un esperto per rimuovere malware da WordPress dopo un attacco

Il tuo sito WordPress manda i visitatori su una pagina di spam, Google mostra “Questo sito potrebbe essere stato violato” sotto il risultato del tuo sito, oppure l’hosting ti ha sospeso l’account.

Può sembrarti di aver perso il sito, ma articoli, pagine e ordini spesso sono ancora nel database. Il rischio più grande è una pulizia che toglie lo spam visibile ma lascia la backdoor, e la stessa infezione si ripresenta.

Ecco cosa controllo nei primi dieci minuti e come trovare un esperto per rimuovere malware da WordPress senza dargli più accessi di quelli che servono per il lavoro.

Come si presenta di solito un sito WordPress hackerato

Tra i segnali ci sono i redirect verso pagine di spam o di truffa, a volte solo per chi arriva da Google o usa il telefono. Google può mostrare pagine che non hai mai scritto, a volte in un’altra lingua. Puoi vedere un avviso rosso del browser, nuovi utenti amministratori o un avviso di sospensione da parte dell’hosting.

Ecco da dove entrano gli hacker, più o meno in ordine di frequenza nella mia esperienza:

• Plugin o tema non aggiornato Ha una falla di sicurezza nota. È di gran lunga il caso più comune.
• Password rubata o debole Qualcuno è riuscito a ottenere le credenziali di WordPress, dell’account di hosting o di SFTP. A volte a rubarle è stato un malware sul computer del proprietario del sito.
• Plugin o tema premium piratato Una copia “gratuita” di un plugin o tema a pagamento spesso contiene già una backdoor.
• Un altro sito infetto sullo stesso hosting Un solo sito di prova dimenticato può infettare tutti gli altri siti sullo stesso hosting.

Spesso un attacco aggiunge codice anziché cancellare i contenuti. La parte difficile è trovare la backdoor: un file nascosto o qualche riga di codice che permette all’attaccante di tornare dopo che lo spam visibile è sparito.

Se il sito mostra un errore critico o una schermata bianca e nessuno dei segnali qui sopra, probabilmente si tratta di un malfunzionamento, non di un attacco. È un altro lavoro: come far riparare un sito WordPress che non funziona.

Prova prima questo (10 minuti)

Non parto cancellando i file infetti. I primi dieci minuti servono a limitare i danni e a conservare le prove.

1. Non cancellare ancora niente. Quei file possono mostrare come è entrato l’attaccante. Cancellarli o reinstallare i plugin può eliminare gli indizi e lasciare la backdoor al suo posto.
2. Annota cosa vedi e quando. Fai degli screenshot del redirect o dell’avviso, segna quando l’hai notato ed elenca le modifiche recenti, come un nuovo plugin, una modifica al tema o un nuovo utente.
3. Cambia le password compromesse. Cambia le password dell’account di hosting, degli utenti SFTP e di tutti gli amministratori WordPress da un computer di cui ti fidi. Se sospetti che le credenziali siano state rubate, fai una scansione antimalware di quel computer. Dopo la pulizia cambia di nuovo le password.
4. Controlla Google Search Console. Apri Sicurezza e azioni manuali → Problemi di sicurezza per vedere cosa ha trovato Google e alcuni URL di esempio. Aspetta a cliccare “Richiedi esame” finché la pulizia non è completa.

Contatta anche l’hosting. Potrebbe aver già trovato dei file infetti e, se l’account è sospeso, può spiegarti cosa serve per riattivarlo.

Lascia perdere il fai da te se hai un negozio online che conserva dati dei clienti, se il sito sta inviando email di spam o se l’hosting l’ha sospeso. Fare esperimenti su un sito infetto ancora online può diffondere l’infezione e far restare il sito segnalato più a lungo.

Se preferisci non toccare i file sul tuo hosting, fermati qui. Ogni modifica in più rende più difficile il lavoro dello sviluppatore. Il passo successivo è scegliere chi lo ripulisce.

Dove trovare uno sviluppatore

Per ripulire un sito WordPress hackerato con un lavoro ben definito e a prezzo fisso, consiglio Fiverr Pro. Prima di assegnare il badge Pro, Fiverr valuta singolarmente i freelance in base a esperienza, portfolio e lavori svolti. Lavoro anch’io su Fiverr, quindi so come funzionano ordini, pagamenti e recensioni.

Quanto costa

Il prezzo dipende da quanto a fondo lavora il venditore, non da quanto sembra messo male il sito. Al momento in cui scrivo, i prezzi di Fiverr Pro per rimuovere malware da WordPress si dividono in tre livelli:

Fiverr aggiunge anche una piccola commissione di servizio al checkout. Una consegna più rapida di solito costa di più.

Cosa manca di solito nei pacchetti più economici

Leggi con attenzione il pacchetto Basic: è quello che comprende meno interventi tra quelli offerti dal venditore. Una pulizia base può bastare per un’infezione semplice, ma spesso lascia fuori:

• il database, dove link di spam e script iniettati spesso si nascondono in articoli e impostazioni
• la backdoor e il punto d’ingresso, così lo stesso attacco ritorna
• la rimozione dall’elenco dei siti segnalati da Google e da altre blacklist
• aggiornamenti e misure di sicurezza aggiuntive dopo la pulizia
• qualche settimana di assistenza se l’infezione si ripresenta

Se l’attacco è già tornato una volta, pagherei almeno per il pacchetto intermedio.

Come dare accesso in sicurezza

Se il sito è stato hackerato, alcune credenziali potrebbero essere già state rubate. Dai allo sviluppatore solo gli accessi che servono per il lavoro, tramite account che controlli tu, e toglili quando il lavoro è finito.

1. Fai prima un tuo backup, anche se è infetto. Scarica file e database dal pannello dell’hosting e tieni la copia fuori dal server. Se la pulizia va storta, puoi usarla per recuperare il sito. Assegna al backup il nome “infetto”, così nessuno lo ripristina per sbaglio.
2. Crea un amministratore WordPress separato per lo sviluppatore invece di condividere il tuo accesso.
3. Dai l’accesso ai file con un utente SFTP separato. Crealo nel pannello dell’hosting. Lo sviluppatore deve poter vedere i file per cercare codice che un plugin di scansione può non trovare. Non condividere mai la password del tuo account di hosting.
4. Alcuni accessi tienili per te: il registrar del dominio, Stripe o PayPal e la casella di posta associata all’indirizzo email di amministrazione del sito.
5. Condividi le password in modo sicuro e solo dopo aver ordinato. Usa un link di condivisione generato da un gestore di password. Non scrivere le password in chiaro nella chat.
6. Chiudi tutto quando il lavoro è finito. Elimina gli utenti WordPress e SFTP dello sviluppatore, cambia di nuovo tutte le password e controlla in Utenti → Amministratore che non ci siano account che non riconosci. Chiedi allo sviluppatore di cambiare la password del database, aggiornarla in wp-config.php e sostituire le chiavi di sicurezza di WordPress. Le nuove chiavi disconnettono chiunque sia ancora collegato, compreso l’attaccante.

Tieni hosting e dominio a tuo nome: è la regola che ti protegge più di tutte. Chi controlla quelli controlla il sito.

Cosa inviare prima che inizi il lavoro

Invia queste informazioni prima di ordinare o incollale nei requisiti dell’ordine su Fiverr:

• l’URL del tuo sito
• cosa vedi: il redirect, il testo dell’avviso o le pagine di spam, con screenshot, e dove compare (solo sul telefono, solo arrivando da Google)
• quando l’hai notato e cosa è cambiato subito prima
• cosa hanno segnalato Google Search Console o l’hosting, con URL di esempio
• il tuo hosting, la versione di WordPress e quella di PHP (Strumenti → Salute del sito → Informazioni, se la bacheca funziona)
• il tema o il page builder, i plugin principali ed eventuali plugin premium presi fuori dallo store ufficiale
• se è un negozio online che conserva dati dei clienti
• quali backup hai, con le date, e quale potrebbe essere di prima dell’attacco
• cosa hai già fatto (cambiato le password, cancellato file, fatto una scansione)
• quali accessi sei disposto a dare

Su Fiverr i requisiti dell’ordine registrano cosa il venditore si è impegnato a consegnare. Descrivi il risultato con parole semplici: “risultati della scansione senza minacce, nessuna pagina di spam inserita nel sito, aiuto con la richiesta di revisione per l’avviso di Google e una spiegazione di come è entrato l’attaccante.”

Come scegliere lo sviluppatore giusto

Rimuovere i file infetti è solo una parte del lavoro. Scegli qualcuno che trovi e chiuda anche il punto d’ingresso.

Cerca recensioni sullo stesso problema

Cerca recensioni che contengono “hacked”, “redirect”, “spam pages” o “blacklist”, senza fermarti al voto complessivo. Leggi le recensioni da una a tre stelle e le risposte del venditore. Una recensione che dice “è tornato due settimane dopo” ti dice di più di dieci che dicono “consegna veloce”.

Leggi cosa comprende ogni pacchetto

Confronta i pacchetti riga per riga: pulizia del database, rimozione dalle blacklist, misure di sicurezza aggiuntive, giorni di assistenza dopo la consegna. Un pacchetto chiamato “rimozione malware” può comunque essere solo una scansione.

Chiedi come trovano il punto d’ingresso

Un buon venditore te lo spiega in una o due frasi: confronta i tuoi file con copie pulite, controlla le versioni dei plugin, gli utenti e i log del server. Un semplice “eseguirò una scansione” di solito vuol dire una pulizia superficiale.

Non dare troppo peso al livello del venditore

Su Fiverr il livello di un venditore mostra il suo storico di ordini, non la sua competenza in sicurezza. Per un negozio online o un attacco che continua a tornare, sceglierei qualcuno con recensioni proprio su quel tipo di lavoro.

Le domande che farei prima di ordinare

• Pulisci anche il database o solo i file?
• Mi dirai come è entrato l’attaccante?
• Farai un backup prima di modificare qualcosa?
• Chiederai la rimozione dall’elenco dei siti segnalati da Google o mi mostrerai come farlo?
• Cosa succede se il malware torna entro 30 giorni?
• Di quali accessi hai bisogno, esattamente?

Campanelli d’allarme

• Ti chiedono la password dell’account di hosting o l’accesso al dominio quando basterebbero un utente WordPress e un accesso SFTP.
• Vogliono spostare la chat o il pagamento fuori da Fiverr. Fiverr chiede agli acquirenti di tenere entrambi sulla piattaforma, e la sua assistenza può aiutarti solo con gli ordini fatti lì.
• Promettono che il tuo sito “non verrà mai più hackerato”. Un venditore onesto parla di ridurre il rischio.
• Ti offrono gratis un plugin di sicurezza premium. È una copia piratata, e i plugin piratati possono contenere malware.
• Vogliono cancellare e reinstallare tutto senza un backup, o senza dirti cosa perderesti.
• Ti offrono uno sconto in cambio di una recensione a cinque stelle.

Dopo la pulizia: verifica il lavoro, accetta e previeni altri attacchi

Su Fiverr hai tre giorni per controllare una consegna. Dopo, l’ordine si completa da solo. Quindi controlla il lavoro il giorno stesso:

• apri il sito in una finestra di navigazione privata e sul telefono, e arrivaci anche cliccando dai risultati di Google (alcuni redirect compaiono solo a chi arriva da Google o usa il telefono)
• cerca su Google site:tuodominio.it e guarda se ci sono pagine che non hai scritto
• fai una scansione remota gratuita, per esempio con Sucuri SiteCheck (in inglese)
• controlla che in Utenti ci siano solo account che conosci
• chiedi come è entrato l’attaccante e annotalo
• chiedi eventuali modifiche tramite Fiverr prima di accettare la consegna

Se Google ha segnalato il sito, richiedi una revisione in Search Console quando il sito è pulito. Google dice che una revisione può richiedere da alcuni giorni a qualche settimana, e inviare di nuovo la richiesta mentre una è in corso può rallentare la successiva.

Poi revoca gli accessi che hai dato (vedi sopra). Aggiorna plugin e temi, elimina quelli che non usi, evita i plugin premium piratati, attiva l’autenticazione a due fattori per gli amministratori e tieni backup automatici fuori dal server. Se la manutenzione regolare ti sembra un secondo lavoro, di solito costa meno di un’altra pulizia.

Riepilogo

Rimuovere malware da WordPress di solito è un intervento limitato e a prezzo fisso, ma una pulizia che cancella solo quello che si vede spesso lascia che l’attacco si ripresenti. Conserva le prove, cambia le password e scegli un venditore che pulisca il database e ti dica come è entrato l’attaccante. Per tenere basso il rischio, crea un account separato e revoca l’accesso quando il lavoro è finito.