Rimozione Malware WordPress e Siti Violati | Yasaf
Sito violato, spam e reindirizzamenti
Rimozione malware WordPress: analisi, pulizia e ripristino
Se il sito reindirizza i visitatori, mostra pagine mai pubblicate, crea amministratori sconosciuti, segnala problemi di sicurezza o viene infettato di nuovo dopo la pulizia, eliminare un file sospetto non basta. Yasaf analizza file, database, utenti, attività pianificate, plugin e impostazioni per determinare l’entità della compromissione prima del ripristino.
- Reindirizzamenti sospetti
- Spam SEO
- File PHP modificati
- Utenti sconosciuti
- Database e cron
- Rafforzamento della sicurezza dopo la pulizia
Segnali comuni
Una violazione non si manifesta sempre allo stesso modo per amministratori, Google e visitatori
Alcuni attacchi reindirizzano solo in base al dispositivo, alla provenienza o allo user agent. Altri creano migliaia di URL spam, inseriscono link nascosti, modificano titoli nel database o mantengono una backdoor in file apparentemente legittimi.
Per questo controlliamo il sito in più modi e confrontiamo quanto appare in WordPress con file, database, utenti, log disponibili e avvisi di Search Console quando il cliente fornisce l’accesso.
Esempi di avvisi: risultati giapponesi o farmaceutici nelle ricerche site:, pagine sconosciute indicizzate, «Questo sito potrebbe danneggiare il tuo computer», reindirizzamenti solo da Google o nuovi amministratori sconosciuti.
Ambito dell’indagine
Dove cerchiamo segnali di compromissione
Core, plugin, temi e caricamenti
File modificati, PHP in posizioni insolite, nomi offuscati e differenze rispetto a fonti affidabili.
wp-config, .htaccess e server
Reindirizzamenti, include, chiavi, regole inattese e codice inserito fuori dalla bacheca.
Articoli, opzioni e utenti
Script, URL, amministratori, opzioni modificate e contenuti spam memorizzati nel database.
Cron e backdoor
Attività o file che ricreano l’infezione dopo la rimozione del sintomo visibile.
Credenziali e account
WordPress, hosting, SFTP/SSH, database e altri accessi potenzialmente compromessi.
Componente vulnerabile
Plugin o tema obsoleto, credenziali deboli, software abbandonato o altra causa quando identificabile.
Un sintomo non è una diagnosi
Cosa possono indicare alcuni segnali
| Segnale | Possibili punti da verificare | Intervento dopo la pulizia |
|---|---|---|
| Reindirizza solo alcuni visitatori | .htaccess, JS, plugin, tema, database, codice condizionale. | Verificare da fonti e dispositivi diversi e controllare la cache. |
| Pagine spam compaiono su Google | Articoli, file generati, sitemap, percorsi falsi, database. | Rimuovere la causa, restituire lo stato HTTP corretto e monitorare Search Console. |
| Il malware ritorna | Backdoor, cron, credenziali compromesse o altro sito dello stesso account. | Eliminare la persistenza e verificare l’intero ambiente. |
| Amministratore sconosciuto | Tabella utenti, sessioni e punto d’ingresso. | Rimuovere l’account, invalidare le sessioni e cambiare le credenziali. |
| File core WordPress modificati | Confrontare con la versione ufficiale e le estensioni caricate. | Ripristinare file affidabili e aggiornare. |
Pulizia e ripristino
Preferiamo ripristinare componenti affidabili invece di «modificare il malware finché sparisce»
Durante il ripristino
- Backup prima delle modifiche
- Sostituzione del core con versione affidabile
- Reinstallazione sicura di plugin e temi quando possibile
- Pulizia di database e utenti
- Controllo di attività pianificate e persistenza
Dopo la pulizia
- Cambiare le credenziali interessate
- Aggiornamenti
- Rimuovere software abbandonato
- 2FA quando disponibile
- Backup e monitoraggio
Google e Search Console
Se Google ha rilevato il problema, il ripristino deve affrontare anche URL e avvisi interessati
Il rapporto Problemi di sicurezza di Search Console può segnalare pagine compromesse. Dopo aver corretto la causa, bisogna verificare che gli URL spam non distribuiscano più contenuti dannosi e seguire la procedura di revisione quando prevista.
Se la violazione ha causato anche problemi di indicizzazione, canonical o migliaia di URL indesiderati, una fase successiva può includere SEO tecnico WordPress.
Perché il malware ritorna?
Una reinfezione indica spesso che un punto d’ingresso è rimasto aperto
All’interno di WordPress
Plugin vulnerabile, tema obsoleto, utente compromesso, backdoor, cron o codice non rimosso.
All’esterno di WordPress
Account hosting, FTP/SFTP, altro sito nello stesso ambiente, computer infetto o credenziali riutilizzate.
Domande
Domande sulla rimozione malware WordPress
Basta cambiare la password?
Aiuta se le credenziali sono state compromesse, ma non rimuove file, utenti o backdoor già presenti sul server.
Un plugin di sicurezza può ripulire tutto?
Gli scanner aiutano a trovare segnali, ma falsi positivi, file personalizzati e persistenza richiedono indagini. Uno scanner da solo non costituisce una prova.
Il mio sito mostra pagine in giapponese su Google. Potrebbe essere violato?
È possibile. Lo spam SEO è una modalità nota di compromissione. Prima bisogna capire dove viene generato il contenuto ed eliminare la causa, poi intervenire sugli URL indicizzati.
Potete ripristinare da un backup?
Sì, se esiste un backup precedente affidabile e compatibile. Occorre comunque verificare il probabile punto d’ingresso per non ripristinare un sito pulito in un ambiente vulnerabile.
Garantite che il sito non verrà mai più violato?
Nessun servizio serio può promettere rischio zero. Il nostro intervento può eliminare la compromissione individuata e ridurre l’esposizione, ma la sicurezza richiede manutenzione continua.
Servizi correlati
Dopo il ripristino del sito
Il tuo WordPress reindirizza i visitatori, crea pagine insolite o si infetta di nuovo?
Invia l’URL e descrivi i sintomi. Se hai un avviso dal provider hosting o da Search Console, allega uno screenshot per accelerare la valutazione iniziale.