Rimozione malware

I clienti possono beneficiare dell’impegno di sicurezza di Kinsta. Se il tuo sito WordPress viene violato mentre è ospitato su Kinsta, collaboreremo con te gratuitamente per cercare di riparare il danno.

Limiti e requisiti di idoneità

• Il nostro impegno per la sicurezza si applica solo ai siti WordPress che non contengono plugin o temi annullati. Se il tuo sito utilizza un plugin o un tema annullato, il nostro team non potrà procedere alla rimozione del malware finché i plugin e i temi in questione non saranno stati rimossi.
• L’impegno non copre software non WordPress o script personalizzati.
• Per continuare a beneficiare della copertura, è necessario completare i passaggi post-pulizia da noi indicati entro un giorno lavorativo dalla nostra richiesta. Se questi passaggi non vengono completati in tempo, il tuo sito non sarà più coperto dal nostro impegno e qualsiasi infezione futura sarà soggetta a una commissione di pulizia di 100 $.
• La nostra garanzia di sicurezza è soggetta ai nostri Termini di servizio. Sebbene non possiamo prevenire o risolvere tutti gli incidenti di sicurezza, ti assisteremo nella riparazione dei danni causati dal malware ai tuoi siti web, a condizione che tali siti siano ospitati da Kinsta.

Cosa include l’impegno di sicurezza

• Un’ispezione del sito e una scansione approfondita dei file per identificare il malware.
• Riparazione del core di WordPress tramite l’installazione di una copia pulita dei file del core.
• Identificazione e rimozione dei plugin e dei temi infetti.

Se, nell’ambito del processo di rimozione del malware, viene rimosso un plugin o un tema attivo, sarai responsabile dell’installazione e della configurazione di una nuova copia dello stesso una volta completata la rimozione.

Faremo del nostro meglio per rimuovere completamente il malware dal tuo sito. Tuttavia, il malware è spesso deliberatamente difficile da rilevare e rimuovere. Ciò è particolarmente vero per le infezioni iniettate nel database del sito. Di conseguenza, in alcuni rari casi, un unico ciclo di bonifica dal malware potrebbe non essere sufficiente. Se rilevi comportamenti inaspettati o dannosi dopo che abbiamo completato il nostro lavoro, ricontatta il nostro team e fornisci quanti più dettagli possibili, in modo che i nostri specialisti possano effettuare un ulteriore tentativo di rimuovere completamente l’infezione.

Come vengono hackerati i siti

Grazie alla progettazione sicura della nostra infrastruttura, le violazioni a livello di server sono estremamente improbabili. Piuttosto, i siti hackerati mentre sono ospitati su Kinsta vengono infettati in uno dei tre modi seguenti:

• Exploit mirati a WordPress: utilizzo di plugin e temi obsoleti o mal programmati oppure utilizzo di versioni obsolete del core di WordPress.
• Credenziali compromesse: un hacker acquisisce le vostre credenziali di accesso all’amministrazione di WordPress, a MyKinsta, al database, a SSH o a SFTP.
• Plugin e temi “annullati”: utilizzo di versioni “gratuite” (nulled) di temi e plugin premium che contengono codice dannoso.

Segnali che indicano che il tuo sito potrebbe essere stato compromesso

Un sito compromesso non sempre si rivela con un errore evidente; spesso il primo indizio è qualcosa che sembra o si comporta in modo leggermente anomalo. Ecco alcuni segnali comuni a cui prestare attenzione:

• Sul tuo dominio viene visualizzato un sito web diverso o sconosciuto. Ciò può significare che i file o il database del tuo sito sono stati alterati, oppure che il tuo dominio punta a un indirizzo errato.
• I visitatori vengono reindirizzati a un sito sconosciuto o sospetto. I reindirizzamenti dannosi vengono spesso inseriti nel codice di un sito e possono apparire solo per determinati visitatori, come quelli provenienti dai motori di ricerca.
• Il tuo sito mostra contenuti che non hai creato (defacement). Questi potrebbero includere testi, immagini o pop-up sconosciuti, a volte lasciati come segno visibile da un aggressore.
• Google o il tuo browser segnalano il tuo sito come pericoloso o non sicuro. Questo di solito significa che sul tuo sito sono stati rilevati malware o contenuti di phishing, il che può influire sul tuo posizionamento nei risultati di ricerca e sulla fiducia dei visitatori finché il problema non viene risolto.
• Noti utenti amministratori, file o plugin sconosciuti. A volte gli aggressori creano account amministrativi nascosti o installano plugin camuffati per mantenere l’accesso al tuo sito.
• Il tuo sito si carica in modo insolitamente lento o si comporta in modo irregolare. Questo può essere un segno della presenza di script dannosi in esecuzione in background, oppure che le risorse del tuo server vengono utilizzate per scopi diversi dalla gestione del sito.

Cosa fare se sospetti che il tuo sito sia stato compromesso

Se noti uno dei segnali sopra indicati, agire rapidamente può limitare i danni e facilitare la pulizia. Ecco cosa fare:

• Contatta il nostro team di supporto per una pulizia gratuita dal malware. Kinsta include la rimozione del malware senza costi aggiuntivi, quindi questo dovrebbe essere il tuo primo passo piuttosto che tentare di risolvere il problema da solo.
• Prendi nota di ciò che hai osservato: URL insoliti, screenshot, messaggi di errore e condividi queste informazioni con il team. Questo aiuta il nostro team a identificare più rapidamente il tipo di compromissione e a individuarne la fonte.
• Non cancellare né ripristinare il sito se deve essere ripulito. Il ripristino rimuove le prove di cui il nostro team ha bisogno per indagare e ripulire correttamente il sito, e non rimuove necessariamente la vulnerabilità sottostante. Se nel frattempo è necessario limitare l’esposizione dei visitatori, metti il sito offline o limita l’accesso, ad esempio abilitando la protezione .htaccess o installando un plugin per la modalità di manutenzione.

Processo di rimozione del malware

Il processo di ispezione di un sito, la scansione alla ricerca di problemi e la rimozione delle infezioni possono richiedere fino a un giorno lavorativo intero per essere completati. Le infezioni particolarmente diffuse potrebbero richiedere più cicli di ispezione. In alcuni rari casi, in cui un sito è stato danneggiato in modo irreparabile, potrebbe essere necessario ripristinarlo utilizzando un backup.

La rimozione del malware può causare il malfunzionamento del sito a causa della rimozione di plugin e temi infetti. Raccomandiamo di abilitare la modalità di manutenzione sul tuo sito (utilizzando un plugin) prima che il nostro team inizi l’intervento, per evitare che i visitatori si imbattano in un sito non funzionante durante la pulizia.

Misure adottate da Kinsta

Per ogni sito riparato, il nostro team di supporto provvederà a:

• Reinstallare il core di WordPress.
• Modificare le password SFTP, SSH e del database.
• Rimuovere eventuali plugin o temi infetti che individuiamo.

Azioni da intraprendere

Una volta completata la rimozione del malware, ti chiederemo di eseguire le seguenti operazioni aggiuntive per mettere in sicurezza il sito:

• Aggiornare tutti i plugin, i temi e il core di WordPress all’ultima versione.
• Se il nostro team ha individuato e rimosso temi o plugin compromessi, non tentare di ripulire manualmente e riutilizzare i file compromessi. Scarica nuove copie dal sito dello sviluppatore e installale sul sito.
• Controllare tutti gli utenti amministratori di WordPress ed eliminare quelli inutilizzati o non riconosciuti.
• Aggiornare tutte le password degli utenti amministratori di WordPress.
• Aggiornare tutte le password degli utenti MyKinsta.
• Seguire eventuali istruzioni aggiuntive specifiche per il sito da noi fornite, in base alla natura dell’infezione.

È necessario completare questi passaggi entro un giorno lavorativo dalla nostra richiesta. Se non si eseguono questi passaggi aggiuntivi, il sito non sarà più coperto dalla nostra garanzia di sicurezza a causa della violazione dei nostri Termini di servizio, e qualsiasi infezione futura sarà soggetta a una commissione di pulizia di 100 $.

Analisi di siti aggiuntivi

La presenza di malware in uno dei siti può destare preoccupazioni riguardo a una possibile infezione degli altri siti. Tuttavia, poiché Kinsta utilizza un’infrastruttura di hosting basata su container, la contaminazione incrociata tra siti a livello di server non è possibile.

Ciò significa che, in assenza di prove specifiche che indichino che altri siti siano stati compromessi, non vi è motivo di ritenere che siano stati infettati.

L’ispezione dei siti per identificare possibili infezioni è limitata ai siti che presentano prove specifiche di infezione. In assenza di prove specifiche, vi consigliamo di utilizzare un servizio di scansione dei siti o un plugin come Sucuri Security per confermare che il resto dei vostri siti non sia stato infettato.

Infezioni rilevate durante la migrazione

Una scansione approfondita di tutti i file del sito è una fase standard del nostro processo di migrazione. Se durante la migrazione dovessimo rilevare che il tuo sito è infetto, interromperemo la migrazione e ti segnaleremo il problema. A quel punto, ti verranno offerte due opzioni:

• Procedere con la migrazione e far rimuovere l’infezione da Kinsta.
• Annullare la migrazione, rivolgersi a una terza parte per riparare il sito compromesso nell’ambiente di hosting precedente, oppure ripararlo autonomamente, e poi riprogrammare la migrazione.

Se scegli di far rimuovere il malware da Kinsta, metteremo in quarantena i file infetti invece di eliminarli definitivamente. I file in quarantena vengono spostati nella directory ~/private all’interno dei file WordPress del tuo sito, dove rimangono inaccessibili al pubblico. Ciò ti consente di esaminare o recuperare i file in un secondo momento, se necessario.

Mettere i file in quarantena aiuta a preservare dati potenzialmente importanti, impedendo al contempo che i file infetti siano accessibili al pubblico o vengano eseguiti.