Intervento d'emergenza
Redirect verso siti che non conosci, pagine di spam nei risultati di ricerca, un avviso rosso del browser, la posta che finisce in blacklist, file PHP comparsi dal nulla. Sono i sintomi con cui ci contattano quasi sempre.
Serve aiuto ora? Scrivi a info@prestashops.it con il dominio e cosa hai notato, oppure usa il modulo in fondo alla pagina.
Rimuoviamo il codice malevolo da e-commerce e siti WordPress, poi ricostruiamo da dove sono entrati. La seconda parte conta quanto la prima: un sito ripulito senza chiudere la porta d'ingresso viene reinfettato nel giro di giorni.
Decidiamo se il sito va messo offline o può restare in piedi. Se il malware tocca il checkout o i dati dei clienti si stacca subito, altrimenti si lavora a sito attivo per non perdere ordini.
Copia forense dei file e del database prima di toccare qualsiasi cosa. Serve come prova, e serve a noi per confrontare i file con quelli originali della piattaforma.
Confronto con i sorgenti ufficiali, ricerca di webshell e backdoor nei moduli e nei plugin, controllo dei task pianificati, degli utenti amministratore e delle chiavi SSH. Il database va guardato con la stessa attenzione dei file: lo spam SEO vive lì.
Log del web server, log di accesso al pannello, cronologia FTP e SSH, versioni di moduli e plugin con vulnerabilità note. Senza questa risposta la bonifica è provvisoria.
Rimozione del codice, sostituzione dei file del core con quelli originali, ripristino mirato dei contenuti dal backup più pulito. Non si reinstalla alla cieca da un backup: spesso l'infezione è più vecchia della copia che si sta usando.
Cambio di tutte le credenziali toccate: database, pannello, FTP, SSH, API dei gateway di pagamento, chiavi dei servizi esterni. Aggiornamento della piattaforma e messa in sicurezza di quello che ha ceduto.
Controllo che il sito sia pulito, richiesta di revisione ai motori di ricerca e ai servizi di blacklist, rimozione degli avvisi del browser. Poi qualche giorno di osservazione dei log, perché le reinfezioni si vedono lì per prime.
Un file PHP nascosto dentro un modulo di terze parti, che accetta comandi via HTTP e riapre l'accesso ogni volta che viene toccato.
Link e testi iniettati nei contenuti, visibili ai motori di ricerca e nascosti ai clienti. Vivono nelle tabelle, non nei file.
Account creati dall'attaccante, spesso con nomi che somigliano a quelli veri, e chiavi SSH aggiunte al server.
Chiavi dei gateway di pagamento e delle API scritte in chiaro dentro i file. Se il sito è stato letto, vanno considerate compromesse e ruotate.
Casi reali, anonimizzati
Su un negozio abbiamo trovato codice malevolo dentro un modulo di terze parti non più mantenuto. Il modulo è stato messo in quarantena, il codice rimosso e tutte le credenziali ruotate. Lo stesso modulo è poi ricomparso su un altro negozio che seguivamo, e lì l'abbiamo riconosciuto in mezz'ora.
Sito con redirect condizionali che si attivavano solo per i visitatori provenienti da Google. Le stringhe malevole non uscivano dalle ricerche nel database, perché erano dentro la cache serializzata del page builder, invisibile alle query normali. Trovate lì, il sito è tornato pulito.
In più di un caso, ripulendo il sito abbiamo trovato chiavi Stripe e credenziali di servizi di posta scritte in chiaro nei file. Non erano il modo in cui erano entrati, ma sarebbero stati il danno successivo.
Interveniamo su PrestaShop, WooCommerce, Magento e Shopify, e sui siti WordPress che stanno accanto al negozio. La logica non cambia, cambiano i posti dove guardare: i moduli e la tabella di configurazione su PrestaShop, i plugin e le opzioni serializzate su WordPress, le estensioni e la cache su Magento.
Dipende da cosa fa il malware. Se ruba dati dal checkout o serve pagine di phishing, sì, subito. Se inietta spam SEO invisibile ai clienti, di solito il sito resta online mentre lavoriamo, così non perdi ordini.
Quasi mai. Il backup spesso contiene già il codice malevolo, perché l'infezione è più vecchia di quanto sembri. E se non trovi la porta d'ingresso, chi è entrato rientra.
La rimozione della parte attiva richiede in genere poche ore. Ricostruire come sono entrati, ruotare le credenziali e chiudere il buco richiede più tempo, e va fatto: è la parte che evita la seconda infezione.
Sì. Dopo la pulizia si chiede la revisione dai pannelli per i webmaster e le segnalazioni cadono. Prima della richiesta serve che il sito sia davvero pulito, altrimenti la penalizzazione si allunga.
Succede quando il sito compromesso è stato usato per inviare spam. Dopo la bonifica si chiede la rimozione dalle blacklist e si sistemano SPF, DKIM e DMARC. Il controllo gratuito della posta dice a che punto sei.
Scrivi il dominio, cosa hai notato e da quando. Se hai già gli accessi al server o al pannello a portata di mano, dillo: si parte prima.