Newsgroup: it.lavoro.professioni.webmaster
Titolo: Intrusione - cosa fare?

Ciao,
 
oggi mi sono accorto che qualcuno ha modificato parte del sito 
(piattaforma wordpress) dell'associazione di cui faccio parte.
 
Per prima cosa ho fatto cambiare la password d'accesso e ripristinato le 
pagine alterate (avevano cambiato l'home page originale con una vuota 
con una scritta test, eliminato un menu di navigazione orizzontale e due 
sidebar - per fortuna non avevano cancellato articoli/pagine).
 
Ora sto facendo un backup e manderò un'email alla società dove il sito è 
appoggiato (aruba).
 
Basta così (a me altro non viene in mente)?
 
Grazie e buona giornata a tutti ;-)
 
-- 
O.

 Basta così (a me altro non viene in mente)?
 
Fare un backup dopo che ti hanno bucato non serve a niente. È come 
conservare i virus per rimetterteli in circolo dopo che sei guarito 
dall'influenza.
 
Il backup andava fatto prima, e ripristinata una copia pulita quando ti 
sei accorto dell'intrusione.
 
Il modo giusto sarebbe cercare di capire come sono entrati, poi aggiornare/
rimuovere il componente incriminato e infine probabilmente reinstallare 
tutto da zero, per poi reinserire gli articoli manualmente dopo averli 
controllati uno per uno.
 
Bye.

 controllati uno per uno.
 
Grazie per le indicazioni.
 
-- 
O.

 dall'influenza.
 
Ho provato a fare dei giri con diversi tool (antivirus, anti-malware, da 
pennette sicuramente ok) sui file del sito ma non rilevano nulla di che.
 
Questa informazione può essere utile?
 
-- 
O.


No, quella di Alessandro era una analogia, non sono gli stessi "virus" 
che colpiscono i computer quindi gli antivirus/malware che hai non 
rileveranno nulla. Probabilmente sono state sfruttate vulnerabilità di 
wordpress o di un suo plugin istallato, e queste sono a carico tuo; 
meno probabilmente vulnerabilità del server web o suoi plugin, e queste 
sono a carico di Aruba.
 
La soluzione corretta sarebbe andare a cercare gli elenchi delle 
vulnerabilità per vedere quanto sei esposto, ma richiede tempo e 
conoscenze.
La soluzione comune "spiccia" è "aggiorna tutto il possibile" nella 
speranza che il codice nuovo sia meglio di quello vecchio, o comunque 
di stare un passo avanti ai programmi che sfruttano automaticamente le 
vulnerabilità.
 
Se non avete una frequenza di aggiornamento elevata vedi la discussione 
recente su Jekyll in cui si parla di un plugin WP per generare un sito 
statico.
 
 
-- 
Andrea
 

 statico.
 
Insomma... si pubblicano ogni tanto articoli... ora mi informo per 
capirci qualcosa.
 
-- 
O.

Ovlas wrote on 28/03/16 14:53:

Installa il plugin WordFence e fagli fare una scansione approfondita (leggi la 
guida prima), ti dirà quali componenti nel tuo sito non sono uguali a quelli 
ufficiali mostrandoti le differenze.
 
Vanno subito cambiate le password di:
- accesso al sito
- accesso al DB
- accesso FTP
- accesso cPanel (o quel che usa Aruba)
 
E verifica i permessi per i file vitali come .htaccess e config.php
 
Inoltre la scansione antivirus la dovresti eseguire sui PC di tutti coloro che 
hanno accesso di admin a questo sito.
 
 
Buona Pasquetta!
 
Gabriele

 Buona Pasquetta!
 
Ricambio e ringrazio!!!
 
-- 
O.

 Basta così (a me altro non viene in mente)?
 
è abbastanza probabile che abbiano approfittato di un bug/vulnerabilità 
di un plugin. direi che una delle cose più urgenti da fare è la bonifica 
e aggiornamento dei componenti di wp, se non vuoi ritrovarti di nuovo 
attaccato nel giro di poco tempo.
 


può dire l'op quali plugin aveva installati?
 


 
Advanced Image Styles
Announcement and vertical scroll news
Back to top
Better delete revision
Contact Form 7
Easy random quote
Google analytics by yoast
Google xml sitemaps
Notifica cookie
Platinum seo pack
Simple social share
Wordfence security
Wordpress Database Backup
 
(nessuno segnala la necessità di essere aggiornato)
 
 
-- 
O.

 Wordfence security
 
incoraggiante...
 

 incoraggiante...
 
L'ho installato oggi pomeriggio seguendo il consiglio di "Gabriele - 
Onenet".
 
-- 
O.


ah, ecco, ora va meglio
farsi bucare con quel plugin di sicurezza abilitato non era il massimo 
dell'allegria

rootkit wrote on 28/03/16 18:47:

Però lui dice che teneva aggiornati i vari plugin, quindi IMHO è più probabile che:
A) password deboli (WP o FTP);
B) computer con trojan e password soffiate.
 
C'è anche una terza ipotesi, essendo su Aruba e immagino shared hosting...
 
Gabriele
 

 C'è anche una terza ipotesi, essendo su Aruba e immagino shared hosting...
 
Ossia? Quei puntini non mi fanno pensare a nulla di buono...
 
-- 
O.


se ti consola ci siamo accorti anche noi della stessa cosa, codici di 
pagine pene di link a viagra, cialis etc etc... anche noi con wordpress 
e aruba :-(
CIao