Insieme alla mia azienda, Managed Server S.r.l., specializzata in hosting e sistemistica Linux, abbiamo lanciato rimozionemalware.com, un servizio dedicato alla rimozione malware da siti WordPress, con tempi di intervento garantiti per contratto.
In oltre vent’anni di lavoro sui server che ospitano siti, portali ed e-commerce ho visto molte infezioni, e quasi sempre la stessa scena: il proprietario si accorge del problema da un segnale indiretto. Un cliente scrive che dal telefono il sito apre una pagina di scommesse, Google mostra l’avviso «Questo sito potrebbe essere stato violato», l’hosting sospende l’account perché dal server parte spam. In quel momento la domanda è una sola: quanto tempo serve per tornare online, e come si evita che succeda di nuovo?
Con rimozionemalware.com ho voluto dare a questa domanda una risposta chiara. La bonifica di siti compromessi è un’attività che svolgiamo da anni per i nostri clienti di hosting; ora ha uno spazio dedicato, aperto a chiunque abbia un sito WordPress infetto, anche se non è ospitato da noi.
Il punto da cui siamo partiti è una constatazione che faccio spesso: pulire un sito non basta. Molte infezioni tornano dopo pochi giorni perché si è cancellato il file segnalato da un plugin di sicurezza e si è lasciato il resto. Il malware moderno installa più punti di accesso in posti diversi: file PHP nascosti tra quelli di WordPress, codice nel database, mu-plugins, direttive in .htaccess e .user.ini, cron job di sistema, chiavi SSH aggiunte all’account, altri siti dello stesso spazio. Se se ne lascia uno, il sito si reinfetta da solo.
Per questo il nostro metodo guarda all’intera catena: file, database e server. Cerchiamo il punto da cui l’attacco è entrato, perché senza chiudere quella porta qualsiasi pulizia è temporanea. Sostituiamo i file compromessi con copie ufficiali invece di correggerli a mano, ripuliamo il database, controlliamo la persistenza a livello di sistema e guidiamo il cliente nella richiesta di revisione a Google. A lavoro concluso consegniamo un rapporto con cosa abbiamo trovato e cosa abbiamo fatto.
C’è poi un aspetto a cui tengo molto: il tempo. Chi ha un sito infetto non può aspettare un preventivo o una risposta generica entro qualche giorno. Abbiamo quindi costruito il servizio su tre piani a prezzo fisso, con un tempo massimo di intervento scritto nelle condizioni di vendita: entro 6 ore o entro 12 ore, contate in ore consecutive anche di notte, nel fine settimana e nei festivi, oppure entro 24 ore lavorative. Se superiamo le soglie previste, il rimborso parte in automatico, senza che il cliente debba chiederlo. Volevo un impegno misurabile, non una promessa commerciale.
Una parte dell’analisi la svolgiamo con modelli di intelligenza artificiale eseguiti sui nostri server, che ci aiutano a esaminare rapidamente grandi quantità di file e log. I dati dei siti non vengono inviati a servizi esterni: per noi la riservatezza fa parte della sicurezza, soprattutto quando un sito tratta dati personali e l’incidente può richiedere una notifica al Garante.
Ogni bonifica comprende anche una garanzia di 30 giorni: se il malware si ripresenta, lo rimuoviamo di nuovo senza costi. È un impegno che possiamo prendere proprio perché non ci fermiamo ai sintomi.
Accanto al servizio ho voluto un blog di guide e approfondimenti tecnici. Spieghiamo come riconoscere un’infezione, dove si nascondono le backdoor, perché un backup ripristinato può riportare il problema e come chiudere davvero gli accessi. Il punto di partenza è la guida su come rimuovere malware da un sito WordPress, che descrive passo per passo il procedimento che usiamo ogni giorno. Mi interessa che anche chi decide di intervenire da solo abbia un metodo corretto, e che sappia riconoscere il momento in cui conviene affidarsi a uno specialista.
Le competenze maturate in Managed Server sull’hosting, sulla sicurezza dei server Linux e sull’analisi forense sono la base di questo progetto. Rimozionemalware.com si affianca al lavoro che facciamo ogni giorno sulle infrastrutture e, insieme a corewebvitals.it, completa un percorso: siti veloci, affidabili e sicuri.
È con questo obiettivo che abbiamo lanciato il servizio: restituire a chi ha subito un attacco un sito pulito, in tempi certi, e chiudere la porta da cui l’attacco è entrato.
Se il tuo sito WordPress è stato hackerato, o vuoi conoscere il nostro metodo, trovi tutte le informazioni su rimozionemalware.com.
