Backdoor WordPress che si ricostruisce: perché cancellare i file non basta

Il 30 settembre 2026 i ricercatori di Sucuri hanno pubblicato l'analisi di SC, una backdoor per WordPress trovata durante la pulizia di un sito: tornava pochi secondi dopo ogni rimozione. Come ha ripreso il giorno dopo The Hacker News, il codice malevolo vive in almeno otto punti diversi, fra file, database e memoria del server, e ognuno è in grado di ricostruire tutti gli altri.

Che cos'è la backdoor SC?

Una backdoor è una porta di servizio nascosta: permette a chi l'ha installata di tornare sul sito quando vuole. SC prende il nome dai marcatori "SC_" trovati nel codice iniettato. Secondo Sucuri, una volta attiva fa parecchio:

• si nasconde dalla pagina dei plugin e dai controlli degli aggiornamenti;
• crea un account amministratore invisibile;
• riceve ordini attraverso la blockchain di Ethereum, quindi senza un server di comando facile da bloccare;
• può inserire nel sito codice JavaScript scelto dall'attaccante, per esempio per rubare i dati delle carte di chi compra (gli "skimmer");
• esegue codice PHP, disattiva o cancella plugin.

Non si sa come sia arrivata sul sito analizzato. Le strade tipiche, ricorda The Hacker News, sono plugin e temi con falle note, password deboli e moduli di caricamento file poco protetti.

Perché si ricostruisce dopo la pulizia?

Perché è un sistema, non un file. Le copie stanno in posti scelti con cura:

• un file .user.ini che fa eseguire un caricatore prima di ogni richiesta PHP;
• due piccoli file in wp-content, uno visibile e uno nascosto;
• db.php e advanced-cache.php, due file speciali che WordPress carica prima dei plugin normali;
• il file functions.php del tema attivo, a cui è stato aggiunto un blocco in fondo;
• un falso plugin di cache, installato due volte: come plugin normale e come plugin "must-use", che si carica sempre e non compare nell'elenco;
• una riga del database;
• un segmento di memoria condivisa del server.

Cancelli il plugin e un altro file lo riscrive; cancelli quel file e il tema lo ricrea; pulisci tutto il disco e alla visita successiva il database o la memoria rimettono in piedi l'insieme. La copia in memoria, spiega Sucuri, sopravvive sia alla cancellazione dei file sia alla pulizia del database, e sugli hosting condivisi può perfino appartenere a un altro account.

C'è anche un tranello: se si cancella il file richiamato da .user.ini mentre PHP tiene ancora in memoria quell'impostazione, tutte le pagine del sito vanno in errore finché la cache non scade. Una pulizia fatta di fretta può quindi trasformare un sito infetto in un sito spento.

Cosa cambia per una PMI con un sito WordPress?

La lezione è che un sito compromesso non si sistema con un plugin di sicurezza e un pomeriggio di cancellazioni. Se il sito torna a mostrare pubblicità strane, redirect o avvisi del browser dopo una "pulizia", molto probabilmente l'infezione non è mai andata via.

Per un negozio online il rischio è doppio: lo skimmer ruba i dati delle carte dei clienti direttamente nella pagina di pagamento, e una violazione di dati personali comporta anche obblighi verso il Garante privacy.

Cosa fare adesso?

Se il sito è sano:

1. Aggiorna WordPress, tema, plugin e versione di PHP, e togli i plugin che non usi.
2. Proteggi l'accesso all'amministrazione con password robuste e autenticazione a due fattori.
3. Tieni backup completi e datati (file e database), conservati fuori dal server.
4. Controlla ogni tanto gli utenti amministratori e la cartella wp-content/mu-plugins, che normalmente è vuota o quasi.

Se il sito è già infetto:

1. Non cancellare a caso. Metti il sito in manutenzione e fai una copia di tutto, per poter ricostruire cosa è successo.
2. Bonifica in un unico intervento file, database, attività pianificate (cron) e, dove l'hosting lo permette, memoria condivisa: finché resta una copia, le altre ritornano.
3. Cambia tutte le credenziali: amministratori, database, FTP, pannello dell'hosting.
4. Valuta il ripristino da un backup pulito precedente all'infezione, se esiste.

Ho raccolto i passaggi in sito hackerato: cosa fare. E se ti chiedi da dove entrano queste infezioni, guarda il caso di questo mese sul plugin Bricksforge.

Ne parliamo?

Con la manutenzione e l'hosting tengo aggiornato il sito, faccio i backup e intervengo se qualcosa non torna. Se il tuo sito è già stato compromesso più volte, a volte la soluzione più pulita è un rifacimento su basi nuove, senza portarsi dietro file di dubbia provenienza. Scrivimi dalla pagina contatti: guardiamo insieme la situazione.

Fonti

• SC WordPress Malware: A Self-Healing Mesh of Loaders, Drop-Ins, and a Blockchain-Controlled Backdoor (Sucuri)
• WordPress Backdoor Rebuilds Itself After Cleanup Using Files, Database, and Shared Memory (The Hacker News)

Crediti delle immagini

• Copertina: foto di Luca su Pexels