Bonifica malware10 agosto 20265 min di letturaTeam WPsec.it

Sito pulito non è sito sicuro: la differenza tra rimozione e bonifica

Togliere i file infetti e bonificare un sito sono due operazioni diverse, con esiti opposti nel tempo. Come funziona la catena ingresso-persistenza-obiettivo di un attacco WordPress, e perché solo la visione completa evita le reinfette.

Esiste una frase che sentiamo quasi ogni settimana da nuovi clienti: "Ma se era tutto pulito, come si è reinfettato?" La domanda contiene l'equivoco di fondo di questo settore: la pulizia è uno stato dei file, la sicurezza è uno stato del sistema. Sono cose differenti, misurate con strumenti diversi, che producono risultati opposti nel tempo.

Anatomia di un attacco: la catena in quattro anelli

Ogni compromissione WordPress che abbiamo analizzato segue la stessa struttura logica. Vale la pena conoscerla, perché ogni anello saltato in bonifica corrisponde a una probabilità di ritorno.

Anello 1 - Ingresso: come entra l'attaccante

Le porte reali, per frequenza osservata:

plugin obsoleto con vulnerabilità nota (il caso dominante)
credenziali rubate altrove e riusate sul sito
plugin nulled con backdoor integrate alla fonte
account amministratore compromesso via brute force o phishing
accesso FTP/hosting condiviso con altri siti infetti

Nota: nessuna di queste porte riguarda il firewall, il certificate SSL o la forza della password dell'amministratore principale che non si autentica mai da mesi. La sicurezza percepita e i vettori reali vivono su pianeti diversi.

Anello 2 - Persistenza: come resta

Una volta dentro, l'attaccante costruisce rientranze: webshell, utenti fantasma, cron di ricaricamento, manipolazioni del database. È l'anello che le pulizie superficiali trattano peggio, perché le persistenze sono progettate apposta per sfuggire allo sguardo: nomi familiari, posizioni profonde, offuscamento leggero sufficiente a ingannare gli scanner a firme.

Anello 3 - Obiettivo: cosa viene fatto

Redirect spam mobile, pagine farmaceutiche, skimming di checkout, invio spam, mining. Conoscere l'obiettivo aiuta la diagnosi a ritroso: un redirect mobile verso casino online indica tipicamente ingresso da plugin o database; uno skimming indica targeting deliberato dell'e-commerce e quindi attaccante più paziente.

Anello 4 - Monetizzazione continuativa

Gli attacchi seri hanno infrastruttura: server di comando, ricaricatori automatizzati, ruoli divisi fra chi entra e chi monetizza. Questo spiega un fenomeno che confonde molti titolari: dopo la pulizia, il malware torna identico, con gli stessi file negli stessi posti. Non è fantasma: è automazione che ricarica da remoto.

Rimozione vs bonifica: il confronto operativo

Aspetto	Rimozione (pulizia)	Bonifica completa
Obiettivo	File infetti assenti	Catena d'attacco interrotta
Analisi log	Assente o facoltativa	Obbligatoria, identifica l'anello 1
Persistenze	Cercate con scanner	Cercate con metodo: file, DB, cron, utenti
Vettore d'ingresso	Spesso ignoto	Identificato e chiuso
Verifica finale	Sito funziona	Sito funziona + 30 giorni di monitoraggio pulito
Probabilità di ritorno	Alta, con stessa firma	Bassa, dipendente da nuovo vettore

La riga decisiva è l'ultima. E la sua conseguenza pratica è scomoda: una rimozione gratuita o economica può costare più di una bonifica pagata, perché il tempo passato con il sito rotto e la fiducia persa si sommano al secondo intervento.

Come verificare se la tua "pulizia" era una bonifica

Domande dirette, applicabili a qualsiasi intervento ricevuto:

Ti è stato detto da dove è entrato l'attaccante? Non "cosa" era presente, ma come è entrato.
Hai ricevuto un documento con l'elenco delle modifiche fatte?
Qualcuno ha analizzato il database oltre ai file?
Esiste una garanzia scritta anti-reinfezione?
Ti sono state proposte azioni strutturali successive (hardening, monitoraggio)?

Quattro o cinque risposte negative significano che hai comprato l'anello 2 senza l'anello 1: il prossimo episodio è questione di tempo.

Il ciclo virtuoso: bonifica, hardening, processo

La sequenza che chiude definitivamente (nel senso realistico del termine) l'episodio:

Bonifica con analisi root cause: catena completa ricostruita e interrotta
Hardening mirato al vettore trovato: se sei entrato da un plugin obsoleto, oltre ad aggiornarlo servono governance degli aggiornamenti; se da credenziali, 2FA e gestione accessi; se da nulled, rimozione definitiva dei componenti crackati
Processo continuativo: monitoraggio, backup verificati, revisione trimestrale. La parte che trasforma un evento traumatico in un rischio gestito

Il punto controintuitivo è che l'hardening va calibrato sulla storia del sito, non su una checklist generica: le difeffese giuste sono quelle che bloccano il vettore che ti ha già colpito una volta, più i suoi parenti stretti. Qui la guida sull'hardening essenziale e la checklist tecnica completa forniscono la base; la pagina sull'hardening WordPress descrive come lo applichiamo caso per caso.

Se il tuo sito si è reinfettato almeno una volta, probabilmente hai vissuto in prima persona la differenza descritta in questo articolo: la pagina sulla rimozione malware con root cause parte proprio da lì, con prezzi fissi e garanzia scritta di 90 giorni. Per il quadro d'insieme del metodo, la guida sulla bonifica passo per passo resta il riferimento.

Uno scanner che dice 'nessuna minaccia trovata' garantisce che il sito sia pulito?

Garantisce che non ci sono firme note. Webshell custom, persistenze nel database e ricaricatori remoti spesso non producono firme riconoscibili. Uno scan pulito è un dato utile, non un verdetto: la verifica seria combina checksum, confronto con sorgenti ufficiali e lettura dei log.

Quanto dura il monitoraggio post-bonifica per considerare chiuso un incidente?

Trenta giorni con verifiche quotidiane di integrità coprono la gran parte dei casi: i ricaricatori automatizzati agiscono entro pochi giorni, gli accessi manuali residui emergono entro poche settimane. Per e-commerce consigliamo 60-90 giorni con attenzione specifica agli endpoint di checkout.

Posso fare la bonifica completa da solo, senza esperienza?

Le singole fasi sono documentabili, ma la difficoltà sta nel sapere cosa guardare nei log e riconoscere le persistenze ben nascoste. Chi procede da solo sottovaluta sistematicamente l'anello 1 (vettore): il risultato tipico è il ciclo pulizia-reinfezione descritto nell'articolo. Se hai competenze sistematiche e tempo, parti dai checksum e dai log; altrimenti delega.

La garanzia anti-reinfezione copre qualsiasi nuova infezione?

Le garanzie serie coprono la reinfezione tramite lo stesso vettore o persistenze residue della bonifica, per una durata definita (noi usiamo 90 giorni). Una compromissione successiva attraverso un componente nuovo e mai toccato è un episodio distinto: nessun fornitore onesto può coprire rischi futuri non correlati.

Pubblicato il 10 agosto 2026

Scritto dal team WPsec.it

Team WPsec.it

Bonifica malware, hardening, performance e manutenzione WordPress.

Guide per sintomo

Il tuo sito ha un sintomo preciso? Parti dalla guida giusta.

Ogni compromissione WordPress lascia segnali diversi. Queste guide spiegano cosa fare nelle prime ore, cosa non toccare e quando serve una bonifica con analisi del vettore d'ingresso.

Continua a leggere