Come rimuovere un malware su wordpress – counter.wordpress.com

Scrivo questa breve guida con la speranza che possa essere utile e servire a tutti coloro che in questi giorni han dovuto ripristinare il proprio sito fatto in wordpress a seguito di una infezione (malware) che ha corrotto i file e i temi utilizzati.

Gli hacker sono molto attivi in questi giorni e stanno sfruttando una vulnerabilità presente non solo in alcuni plugin ma anche nei temi che utilizzano il famoso script in php TimThumb per la gestione delle immagini e delle anteprime delle immagini.

Lo script in questione è stato compromesso ed è consigliabile aggiornarlo il prima possibile all’ultima versione o eliminarlo dal proprio sito aggiornando di conseguenza il tema all’ultima versione disponibile.

Lo script è messo a disposizione da Google ed è possibile copiarlo a questo link: Codice di TimThumb.php.

Oltre a dover aggiornare questo file, il pacchetto wordpress può essere stato compromesso in un altro modo. Gli hacker sono riusciti infatti, dopo aver rubato le password di accesso FTP, ad installare dei file chiamati upd.php all’interno di diverse cartelle che compongono wordpress (in particolare in /wp-admin e /wp-content) e hanno anche modificato il file di configurazione wp-config.php.

Non tutti i browser sono capaci di rilevare questa minaccia, il primo è stato Google che prontamente ha inserito il sito nella lista nera.
Ma come uscire e sventare questa minaccia?
Qui di seguito riporto le operazioni che, ahimè, ho dovuto fare per ripristinare il blog di libera-mente.net

1. Controllare il file wp-config.php. Questo file deve contenere un numero di righe non molto alto, intorno alle 92 linee e terminare con la seguente riga di codice: require_once(ABSPATH . ‘wp-settings.php’);

Tutto quello che viene dopo va cancellato! O meglio ancora se si modifica un file wp-config.php pulito con i propri dati e si ricarica questo sul server.

2. Ricercare nel pacchetto wordpress i file upd.php e rimuoverli.
3. Cancellare i file temporanei se si utilizza un plugin di cache.
4. Controllare tutti i file .js e cancellare la stringa: x64\x20\x35\x28\x29\x7B\x62\x20\x30\x3D\x32\x2E\x63\x28\x22\x33\

Meglio ancora se si caricano file nuovi per gli script.

5. Controllare il file index.php. Cancellare tutto quello che è tra require(‘./wp-blog-header.php’); e ?>

6. Cambiare le password di accesso di admin e quelle di accesso all’FTP e al server modificando ulteriormente il contenuto di wp-config.php nella riga define(‘DB_PASSWORD’, ‘tua password’);

A questo punto la minaccia è stata rimossa, per avere una conferma è possibile utilizzare un servizio di scansione on-line per siti web: http://sitecheck.sucuri.net/scanner/

Se questi passaggi non dovessero funzionare è consigliabile fare una copia di backup del proprio sito e reinstallare wordpress con tutti i file nuovi! Questo lavoro è un po’ più lungo ma assicura la soluzione definitiva al problema.

Per dubbi, domande e altro…sono qui!

Scritto da Mac La Mente