El teu WordPress està infectat? Com saber-ho i què has de fer

Un web infectat gairebé mai no ho sembla. Qui hi entra no vol que es noti: la pàgina continua carregant com sempre mentre el servidor envia correu brossa, ensenya pàgines d'spam als cercadors o redirigeix una part dels visitants cap a webs de tercers. Sovint passen setmanes fins que algú se n'adona.

Senyals que el teu web està compromès

• Google mostra resultats estranys amb el teu domini: cerca site:elteudomini.cat i mira si hi surten pàgines en japonès, de medicaments o de casinos que no has creat mai.
• Els visitants que arriben des del mòbil o des de Google acaben en un altre web, però tu, entrant directament, no veus res d'estrany.
• Google o el navegador avisen que «aquest lloc pot haver estat piratejat», o Search Console t'envia un avís de seguretat.
• Hi ha usuaris administradors que no coneixes, o connectors que no has instal·lat.
• El teu proveïdor t'avisa que el web envia correu brossa, o el domini apareix en una llista negra i els teus correus deixen d'arribar.
• Pàgina en blanc, errors de base de dades o el web s'ha tornat molt lent sense motiu.

Què has de fer

• Fes una còpia del web i de la base de dades abans de tocar res. Si esborres a cegues, pots perdre contingut i també les proves de com han entrat.
• Canvia totes les contrasenyes: les dels administradors de WordPress, la de la base de dades, la de l'FTP i la del tauler de l'allotjament.
• Compara els fitxers amb els oficials. Amb WP-CLI, wp core verify-checksums i wp plugin verify-checksums --all diuen quins fitxers del nucli i dels connectors s'han modificat.
• Busca fitxers PHP on no n'hi hauria d'haver, sobretot a wp-content/uploads, i revisa el .htaccess: és un amagatall habitual per a les redireccions.
• Actualitza WordPress, la plantilla i els connectors, i elimina els que no facis servir o que hagis baixat de llocs no oficials.
• Quan estigui net, demana a Google que el revisi des de Search Console.

Esborrar el fitxer que has trobat no és suficient: si no tanques la porta per on han entrat, normalment tornen en pocs dies. Els motius més habituals són un connector o una plantilla desactualitzats, una contrasenya filtrada o una versió antiga de PHP, com va passar amb la vulnerabilitat PHP2Shell.

Com ho fem a Intergrid

Els webs que tenen WebSentinel es revisen cada nit des del servidor, amb comprovacions que un web compromès no pot falsejar:

• Comparació de cada fitxer de WordPress i dels connectors amb l'original oficial.
• Cerca de codi maliciós, també amagat dins de fitxers que semblen imatges.
• Comparació entre el que veu un visitant i el que rep Google, per detectar l'spam ocult.
• Neteja automàtica quan el diagnòstic és clar. Si hi ha dubtes, ho revisa un tècnic nostre abans de tocar res.
• Res no s'esborra: el que es retira es guarda sis mesos en quarantena, per si cal recuperar-lo.
• T'enviem un correu, en el teu idioma, amb què s'ha trobat i què s'ha fet.

Si el teu web és en un altre allotjament i creus que està infectat, el podem traslladar a Intergrid de manera gratuïta i revisar-lo abans de posar-lo en marxa. Et diem què hem trobat i què cal fer amb un pressupost sense compromís.