Panoramica dell’intervento

WpSupporto è stato contattato con urgenza dal proprietario del sito Climaper.it, un eCommerce WordPress utilizzato per la vendita online di climatizzatori, pompe di calore e soluzioni per il trattamento dell’aria. Alcuni clienti avevano segnalato un comportamento anomalo durante la navigazione: cliccando su determinate pagine del sito o su alcuni prodotti venivano reindirizzati verso siti web esterni con contenuti destinati ad un pubblico adulto.

Il problema non era costante e si manifestava solo in determinate condizioni, caratteristica tipica delle infezioni malware progettate per ridurre le probabilità di essere individuate rapidamente dagli amministratori del sito. L’eCommerce risultava apparentemente operativo, gli ordini continuavano ad essere registrati e il pannello di amministrazione era ancora accessibile, ma il sito era ormai compromesso.

Considerata la tipologia dell’attacco e il rischio di compromettere la reputazione del dominio, il posizionamento organico su Google e la fiducia degli utenti, l’intervento è stato classificato come priorità critica ed è stato avviato immediatamente.

Indicatori di compromissione rilevati

Prima di intervenire è stata effettuata una rapida analisi dello stato del sito per verificare la presenza di sintomi riconducibili ad una compromissione del file system o del database.

• ✔ Redirect casuali verso siti web con contenuti per adulti.
• ✔ Reindirizzamenti presenti sia nelle pagine prodotto che nelle pagine informative.
• ✔ Comportamento differente tra utenti autenticati e visitatori.
• ✔ Nessun malfunzionamento apparente del checkout WooCommerce.
• ✔ File del tema modificati senza autorizzazione.
• ✔ Codice PHP offuscato inserito in più punti del sito.
• ✔ Elevato rischio di penalizzazione SEO.
• ✔ Potenziale esposizione a nuove infezioni attraverso il tema vulnerabile.

Analisi tecnica iniziale

La prima fase dell’intervento è stata dedicata all’analisi dell’intera installazione WordPress per individuare il punto di ingresso utilizzato dagli attaccanti e verificare l’estensione della compromissione.

L’obiettivo non era soltanto eliminare il redirect, ma comprendere come fosse stato possibile modificare il sito ed escludere la presenza di ulteriori backdoor che avrebbero potuto consentire una nuova infezione dopo pochi giorni.

Controllo dei file principali di WordPress

Sono stati confrontati i file principali dell’installazione con quelli originali di WordPress, verificando la presenza di modifiche non autorizzate all’interno di wp-config.php, index.php, .htaccess e delle directory di sistema.

Verifica del tema installato

Durante la verifica è emerso che il sito utilizzava il tema premium OneClick in una versione non aggiornata. La release installata risultava obsoleta e presentava una vulnerabilità già nota che consentiva ad un attaccante di modificare direttamente alcuni file del tema.

L’analisi ha evidenziato numerose alterazioni all’interno del file functions.php, principale punto di caricamento del codice personalizzato del tema. Proprio in questo file era stato inserito codice PHP offuscato destinato ad intercettare le richieste degli utenti e generare redirect verso siti esterni.

Analisi del codice malevolo

Il codice individuato utilizzava tecniche di offuscamento comunemente impiegate nei malware destinati ai siti WordPress. Le istruzioni erano state volutamente rese difficili da interpretare attraverso funzioni PHP che impedivano una lettura immediata del codice sorgente e ne rendevano più complessa l’individuazione durante una semplice ispezione dei file.

Sono inoltre stati rilevati riferimenti a domini esterni utilizzati come destinazione dei redirect, oltre a funzioni che permettevano di attivare il comportamento malevolo solo in particolari condizioni, riducendo così le probabilità che il proprietario del sito si accorgesse tempestivamente dell’infezione.

Estensione della compromissione

L’analisi ha successivamente confermato che il malware non era limitato ad un singolo file. Oltre alle modifiche presenti nel file functions.php, sono state individuate alterazioni anche nel file wp-config.php e in altri file appartenenti al tema installato. Questa situazione rendeva necessario un intervento di bonifica completo dell’intera installazione WordPress e non una semplice rimozione del codice visibile nei redirect.

Intervento di bonifica eseguito

Una volta individuata la causa della compromissione, l’intervento è stato pianificato con l’obiettivo di eliminare completamente il malware senza interrompere l’operatività dell’eCommerce e senza compromettere i dati presenti nel database. Prima di modificare qualsiasi file è stato eseguito un backup completo dell’installazione, così da poter ripristinare rapidamente il sito in caso di necessità durante le operazioni di bonifica.

La procedura non si è limitata alla rimozione del codice che generava i redirect verso siti per adulti. È stata eseguita una verifica completa dell’integrità dell’installazione WordPress per individuare eventuali backdoor, file modificati e punti di accesso che avrebbero potuto consentire una nuova compromissione del sito anche dopo la rimozione del malware.

Bonifica del tema OneClick

L’analisi ha confermato che il file maggiormente compromesso era functions.php del tema OneClick. Al suo interno erano presenti diverse porzioni di codice PHP offuscato utilizzate per intercettare le richieste dei visitatori e reindirizzarle verso domini esterni con contenuti non pertinenti.

Il codice malevolo è stato rimosso manualmente dopo un’attenta verifica delle personalizzazioni legittimamente presenti nel tema, evitando così la perdita di funzionalità sviluppate nel corso degli anni.

Ripristino del file wp-config.php

Durante la verifica è stata riscontrata anche la presenza di codice estraneo all’interno del file wp-config.php, uno dei file più importanti dell’intera installazione WordPress. Dopo aver confrontato il contenuto con una versione pulita del file, tutte le istruzioni non autorizzate sono state eliminate mantenendo inalterata la configurazione originale del sito.

Verifica dell’intero tema

L’intervento è proseguito con il controllo di tutti i file appartenenti al tema OneClick, verificando la presenza di ulteriori modifiche non autorizzate. Sono stati analizzati i file PHP principali, gli header, i template delle pagine e tutte le componenti maggiormente esposte ad alterazioni da parte del malware.

Controllo delle directory sensibili

Successivamente sono state ispezionate le cartelle dell’installazione WordPress che più frequentemente vengono utilizzate per nascondere codice malevolo, con particolare attenzione alla directory uploads, ai plugin installati e ai file di configurazione del sito.

Durante questa fase sono stati ricercati eventuali file sospetti, web shell, script caricati abusivamente e componenti in grado di ripristinare automaticamente il malware dopo la bonifica.

Aggiornamento e messa in sicurezza

Dopo aver eliminato tutte le tracce dell’infezione è stato aggiornato il tema vulnerabile e sono state verificate le versioni di WordPress, WooCommerce e dei plugin installati, così da ridurre il rischio di nuove compromissioni sfruttando vulnerabilità già note.

Registro operativo dell’intervento

Verifiche finali eseguite

Al termine dell’intervento sono stati effettuati numerosi controlli per assicurarsi che il malware fosse stato completamente eliminato e che il sito potesse tornare online in condizioni di sicurezza.

• ✔ Eliminazione completa dei redirect verso siti esterni.
• ✔ Bonifica manuale dei file compromessi.
• ✔ Ripristino del file functions.php.
• ✔ Ripristino del file wp-config.php.
• ✔ Controllo dell’intero tema OneClick.
• ✔ Ricerca di eventuali web shell e backdoor.
• ✔ Verifica degli utenti amministratori.
• ✔ Controllo delle directory principali dell’installazione.
• ✔ Aggiornamento del tema vulnerabile.
• ✔ Test di navigazione dell’eCommerce.
• ✔ Controllo delle pagine prodotto e delle categorie.
• ✔ Conferma dell’assenza di ulteriori redirect malevoli.

Perché un tema WordPress non aggiornato può diventare un grave rischio per la sicurezza

Molti proprietari di siti WordPress ritengono che un tema funzionante non abbia bisogno di essere aggiornato. In realtà è proprio questo uno degli errori più frequenti che osserviamo durante gli interventi di bonifica malware.

Ogni anno vengono individuate nuove vulnerabilità che interessano temi e plugin WordPress. Quando gli sviluppatori rilasciano un aggiornamento di sicurezza, gli attaccanti analizzano rapidamente le modifiche introdotte per comprendere quale vulnerabilità sia stata corretta. Se un sito continua ad utilizzare una versione obsoleta, diventa un bersaglio particolarmente semplice per gli attacchi automatici.

Nel caso analizzato, il tema OneClick era installato in una versione non aggiornata. La vulnerabilità presente nella release utilizzata ha consentito agli aggressori di modificare diversi file del sito e di inserire codice PHP malevolo che generava redirect verso siti esterni con contenuti per adulti.

Quali conseguenze può avere un malware su un eCommerce WordPress

Quando un sito viene compromesso, il danno non riguarda soltanto il corretto funzionamento delle pagine. Un malware può compromettere la reputazione del dominio, la fiducia dei clienti e il posizionamento organico sui motori di ricerca.

Nel caso di Climaper.it, i redirect verso siti esterni avrebbero potuto causare conseguenze molto più gravi se il problema non fosse stato individuato rapidamente.

• Perdita di fiducia da parte dei visitatori.
• Riduzione delle conversioni e degli ordini online.
• Possibile segnalazione del sito come non sicuro.
• Rischio di inserimento nelle blacklist dei browser.
• Perdita di posizionamento organico su Google.
• Danni all’immagine aziendale.
• Possibile compromissione di ulteriori file nel tempo.

Molti malware moderni cercano inoltre di rimanere invisibili il più a lungo possibile, mostrando il comportamento malevolo soltanto ad alcuni visitatori oppure esclusivamente agli utenti provenienti dai motori di ricerca. Questo rende la diagnosi molto più complessa e richiede un controllo approfondito dell’intera installazione WordPress.

Come prevenire nuove infezioni WordPress

La rimozione del malware rappresenta soltanto una parte dell’intervento. Per evitare che il sito venga nuovamente compromesso è fondamentale adottare una strategia di manutenzione continua e monitorare periodicamente lo stato di sicurezza dell’installazione.

• ✔ Aggiornare regolarmente WordPress, tema e plugin.
• ✔ Eliminare componenti non più utilizzati.
• ✔ Utilizzare password robuste e autenticazione sicura.
• ✔ Effettuare backup automatici verificati.
• ✔ Controllare periodicamente i file modificati.
• ✔ Monitorare gli utenti amministratori.
• ✔ Installare sistemi di scansione malware.
• ✔ Eseguire controlli dopo ogni aggiornamento importante.
• ✔ Affidare la manutenzione a tecnici specializzati WordPress.

Approfondimenti correlati

Se stai riscontrando problemi di sicurezza sul tuo sito WordPress o desideri approfondire altri interventi documentati dal nostro team, potrebbero interessarti anche queste risorse.

• Servizio di rimozione malware WordPress
• Manutenzione WordPress professionale
• Caso studio: Redirect spam su WordPress
• Come capire se un sito WordPress è stato hackerato
• Plugin WordPress in conflitto: guida pratica

Il tuo sito WordPress mostra redirect sospetti o è stato compromesso?

Se durante la navigazione il tuo sito apre pagine sconosciute, reindirizza verso domini esterni, mostra contenuti non pertinenti oppure sospetti la presenza di malware, è importante intervenire rapidamente per limitare i danni e individuare la causa della compromissione.

Ogni intervento eseguito da WpSupporto parte da una diagnosi tecnica approfondita dell’intera installazione WordPress. Analizziamo i file del core, il tema, i plugin, il database e la configurazione del server per individuare la root cause dell’attacco e ripristinare il sito in condizioni di sicurezza.