Sito WordPress infetto da Malware?
Lo bonifichiamo in 6 ore.

Significa che entro il tempo scelto il sito è ripulito dall’infezione: malware, backdoor e persistenze rimossi, sito di nuovo online e funzionante. Il conteggio parte da quando riceviamo gli accessi necessari per lavorare: WordPress, database e hosting, o meglio ancora SSH.

Nelle ore successive proseguiamo con monitoraggio e verifiche, per confermare che l’infezione non si rigeneri. Se durante l’analisi emerge qualcosa fuori dal perimetro concordato, come altri siti compromessi sullo stesso account, te lo diciamo subito, prima di procedere.

Perché quasi sempre la pulizia ha rimosso gli effetti, ma non la causa. Le infezioni più diffuse installano meccanismi di persistenza: un cron di sistema che riscarica la backdoor, un evento WP-Cron, un trigger SQL che reinserisce il codice nei contenuti, un processo PHP che resta in memoria anche dopo la cancellazione del proprio file.

A questo si aggiunge il vettore d’ingresso: se il plugin vulnerabile o la password compromessa restano, l’attaccante rientra dalla stessa porta. Per questo cerchiamo ogni persistenza, a livello applicativo e sistemistico, e chiudiamo la vulnerabilità sfruttata.

Tutto ciò che sta sotto WordPress: il sistema operativo, l’utente con cui gira il sito, i crontab, i processi attivi, i permessi dei file, le chiavi SSH, la configurazione di Apache, NGINX o LiteSpeed e di PHP-FPM, i log del server.

Un plugin di sicurezza lavora dall’interno di WordPress e non può vedere questi elementi. Molti sviluppatori e agenzie, a loro volta, hanno accesso solo via FTP o dal pannello dell’hosting. Noi lavoriamo con accesso SSH quando è disponibile, come facciamo ogni giorno sui server che gestiamo.

Usiamo modelli open weight, come Qwen e DeepSeek, eseguiti in locale sulla nostra infrastruttura. Ci aiutano ad analizzare grandi volumi di log, a decodificare e classificare codice offuscato e a individuare comportamenti anomali che non corrispondono a firme note, come accade con i vettori non ancora classificati e gli 0-day.

I file e i log del tuo sito non vengono inviati a servizi AI di terze parti. L’AI è uno strumento a supporto dei nostri analisti: ogni valutazione e ogni rimozione viene decisa e verificata da una persona.

Sì. Molti plugin e temi commerciali usano legittimamente ionCube, Zend Guard o SourceGuardian per proteggere il proprio codice, e proprio per questo i file cifrati sono un nascondiglio ideale: uno scanner non può leggerne il contenuto.

Il nostro sistema di analisi individua i file codificati e offuscati, anche con catene di base64, gzinflate ed eval, li confronta con le versioni originali distribuite dai produttori e segnala quelli modificati o fuori posto. Un file cifrato che non appartiene a nessun prodotto installato è un campanello d’allarme.

Dipende dalla gravità. Se il sito sta distribuendo malware ai visitatori o sottraendo dati di pagamento, può essere necessario metterlo in manutenzione per il tempo strettamente indispensabile: te lo proponiamo e lo decidiamo insieme.

Negli altri casi lavoriamo con il sito online. Prima di ogni intervento facciamo una copia completa dello stato attuale, utile anche per l’analisi forense, così ogni modifica resta reversibile.

No, è uno dei principi del nostro metodo. Non ricorriamo a reinstallazioni alla cieca né a ripristini di backup vecchi di settimane: rimuoviamo il codice malevolo e sostituiamo solo i file compromessi con le loro versioni originali.

Articoli, pagine, prodotti, ordini, utenti legittimi e personalizzazioni restano al loro posto. Se un file contiene sia codice legittimo sia codice malevolo, come accade spesso nei temi personalizzati, lo ripuliamo a mano.

Sì: hosting condivisi, VPS, server dedicati e cloud, con Apache, NGINX o LiteSpeed. Con un accesso SSH estendiamo l’analisi a cron, processi e log di sistema; con il solo accesso FTP e al pannello lavoriamo comunque su file e database, e ti diciamo con chiarezza quali controlli restano esclusi.

Se l’infezione dipende da limiti dell’hosting, come permessi errati o siti diversi che condividono lo stesso utente di sistema, lo segnaliamo nel report insieme alle correzioni consigliate.

Sì. Completata la bonifica, ti guidiamo nella richiesta di revisione tramite Google Search Console e verifichiamo lo stato del dominio su Google Safe Browsing e sulle principali blacklist.

I tempi di revisione dipendono da Google e dagli altri servizi coinvolti: non sono sotto il nostro controllo e non rientrano nel tempo garantito di bonifica.

Sì. Chi conosce il sito ci aiuta a distinguere le personalizzazioni legittime dalle modifiche malevole. Condividiamo ciò che troviamo e concordiamo come gestire gli interventi sul codice personalizzato.

Molte agenzie ci affidano la parte sistemistica e forense che esula dal loro lavoro quotidiano: noi ci occupiamo della bonifica e della chiusura del vettore, loro continuano a seguire il sito.

Ricevi un report tecnico che elenca i componenti dell’infezione trovati, dove si trovavano, come sono stati rimossi e quale vettore ha usato l’attaccante, insieme alle misure di hardening applicate.

Nelle ore successive alla bonifica controlliamo che non ricompaiano file, utenti o processi sospetti. Un report con dettagli concreti vale più di una scansione che dice “zero minacce”.

Nel report trovi le cause e le correzioni consigliate: aggiornamenti, plugin da sostituire, permessi, password e configurazione del server. Le più urgenti le applichiamo già durante l’hardening.

Molte reinfezioni dipendono da aggiornamenti trascurati e credenziali riutilizzate. Se vuoi affrontare il problema alla radice, Managed Server offre anche hosting WordPress gestito, con aggiornamenti e monitoraggio seguiti da sistemisti.