https://wpsec.it/segnali/ Il catalogo delle firme di rilevamento: la stringa esatta, i comandi di verifica e le mosse che non bastano. it-IT Tue, 01 Sep 2026 00:00:00 GMT https://wpsec.it/segnali/html-spam-gambling/ https://wpsec.it/segnali/html-spam-gambling/ Tue, 01 Sep 2026 00:00:00 GMT html.spam.gambling segnala pagine HTML di spam per casinò, slot e scommesse caricate sul sito per posizionarsi su Google col tuo dominio. Nel corpus: 11 domini, 5 server, 83% dentro wp-content. Famiglia antivirus https://wpsec.it/segnali/js-skimmer-b64/ https://wpsec.it/segnali/js-skimmer-b64/ Tue, 01 Sep 2026 00:00:00 GMT js.skimmer.b64 segnala uno skimmer JavaScript in base64: legge i dati della carta nel modulo di pagamento e li invia altrove. Nel corpus: 3 e-commerce, con i file travestiti da immagini .png. Famiglia antivirus https://wpsec.it/segnali/php-admin-tool-db-adminer/ https://wpsec.it/segnali/php-admin-tool-db-adminer/ Tue, 01 Sep 2026 00:00:00 GMT php.admin.tool.db.adminer segnala Adminer, un pannello per il database in un solo file PHP. Non è malware in sé: è la console del database esposta a chiunque. Nel corpus: 6 domini, 5 server. Famiglia antivirus https://wpsec.it/segnali/php-admin-tool-fm/ https://wpsec.it/segnali/php-admin-tool-fm/ Tue, 01 Sep 2026 00:00:00 GMT php.admin.tool.fm e php.bkdr.fm segnalano un file manager in PHP: sfoglia, modifica, carica e cancella file dal browser. Nel corpus: 9 domini, 7 server, un file su quattro dentro un plugin. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-drpr/ https://wpsec.it/segnali/php-bkdr-drpr/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.drpr indica una backdoor con funzione di dropper: scrive altri file sul sito. Nel corpus compare su 36 domini e 11 server, quasi sempre con nomi casuali e senza estensione. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-exec/ https://wpsec.it/segnali/php-bkdr-exec/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.exec segnala codice PHP che esegue comandi di sistema. Nel corpus: 4 domini, 4 server, sempre con nome casuale e senza estensione, il profilo del file richiamato da un altro. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-fakeplugin-wp/ https://wpsec.it/segnali/php-bkdr-fakeplugin-wp/ Tue, 01 Sep 2026 00:00:00 GMT L'hosting ti ha scritto che ha rilevato php.bkdr.fakeplugin.wp. È il nome che l'antivirus dà a una backdoor camuffata da plugin WordPress. Cosa comporta davvero. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-gen/ https://wpsec.it/segnali/php-bkdr-gen/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.gen è una firma generica con identificativo AUTO: nella maggioranza dei casi è una backdoor, ma esistono falsi positivi documentati su file legittimi. Come distinguere i due casi. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-generico/ https://wpsec.it/segnali/php-bkdr-generico/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr senza suffisso è la famiglia generica delle backdoor PHP. Nel corpus: 19 domini su 10 server, nomi di file normali nel 64% dei casi. Cosa fare quando l'hosting scrive solo questo. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-incl/ https://wpsec.it/segnali/php-bkdr-incl/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.incl segnala una backdoor in due pezzi: una riga di include in un file legittimo e il carico in un file a parte. Nel corpus: 7 domini, 4 server, un file su quattro dentro il tema. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-obf/ https://wpsec.it/segnali/php-bkdr-obf/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.obf è una backdoor con codice offuscato; php.gif.bkdr la stessa cosa dentro un file che finge di essere un'immagine. Nel corpus: 13 domini, 6 server, file .webp e .gif fra i rilevamenti. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-remote/ https://wpsec.it/segnali/php-bkdr-remote/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.remote segnala una backdoor che scarica codice o comandi da un server esterno. Nel corpus: 10 domini, 6 server, il 96% dei file con nome casuale e quasi tutti fuori da WordPress. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-spam/ https://wpsec.it/segnali/php-bkdr-spam/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.spam segnala un mailer: codice che usa il tuo sito per inviare email di spam o phishing. È la causa più comune di sospensione dell'hosting. Nel corpus: 13 domini, 6 server. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-upld/ https://wpsec.it/segnali/php-bkdr-upld/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.upld e php.bkdr.upldr indicano un uploader: un modulo web che carica file sul server. Nel corpus: 11 domini, 6 server, il 93% dei file fuori dalle cartelle di WordPress. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-wp/ https://wpsec.it/segnali/php-bkdr-wp/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.wp con prefisso SMW-INJ indica codice malevolo iniettato in un file vero di WordPress: nel corpus il 97% sta dentro l'installazione, il 78% in un plugin, e il file ha un nome normale. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-wpcore-mal/ https://wpsec.it/segnali/php-bkdr-wpcore-mal/ Tue, 01 Sep 2026 00:00:00 GMT Il rilevamento indica codice ostile dentro un file del core di WordPress. È il caso più semplice da verificare, perché i file del core hanno checksum pubblici. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-wpplugin-mal/ https://wpsec.it/segnali/php-bkdr-wpplugin-mal/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.wpplugin.mal è la firma più diffusa nel nostro corpus: 40 siti WordPress su 7 server. Un plugin dal nome normale che in realtà è una backdoor. Cosa verificare. Famiglia antivirus https://wpsec.it/segnali/php-bkdr-wshll/ https://wpsec.it/segnali/php-bkdr-wshll/ Tue, 01 Sep 2026 00:00:00 GMT php.bkdr.wshll è la firma di una webshell. Nel corpus: 19 domini, 7 server, e un dettaglio che sfugge alle pulizie manuali: solo un file su tre finisce in .php, gli altri in .phar, .php8 o .pht. Famiglia antivirus https://wpsec.it/segnali/php-dropper/ https://wpsec.it/segnali/php-dropper/ Tue, 01 Sep 2026 00:00:00 GMT Un dropper non fa danni da solo: scarica e installa il resto. È il motivo per cui un sito ripulito a metà torna infetto in poche ore. Famiglia antivirus https://wpsec.it/segnali/php-tool-misc/ https://wpsec.it/segnali/php-tool-misc/ Tue, 01 Sep 2026 00:00:00 GMT php.tool.misc classifica uno strumento da attaccante non meglio specificato. Nel corpus: 7 siti WordPress su 4 server, e nel 95% dei casi il file era svuotato dall'antivirus ma non rimosso. Famiglia antivirus https://wpsec.it/segnali/php-tool-phish/ https://wpsec.it/segnali/php-tool-phish/ Tue, 01 Sep 2026 00:00:00 GMT php.tool.phish segnala un kit di phishing ospitato sul sito: una finta pagina di login di una banca, di un corriere o di un servizio email. Cosa comporta, anche legalmente, e cosa fare subito. Famiglia antivirus https://wpsec.it/segnali/php-tool-seo-wp/ https://wpsec.it/segnali/php-tool-seo-wp/ Tue, 01 Sep 2026 00:00:00 GMT php.tool.seo.wp segnala uno strumento di spam SEO: inietta link o pagine invisibili ai visitatori e visibili a Google. Nel corpus: 7 siti WordPress su 3 server, sempre nel tema o nella radice. Famiglia antivirus https://wpsec.it/segnali/php-webshell-eval/ https://wpsec.it/segnali/php-webshell-eval/ Tue, 01 Sep 2026 00:00:00 GMT php.webshell.eval indica un file che esegue codice arbitrario inviato via web. Cosa può fare chi lo controlla e quali verifiche servono subito. Famiglia antivirus https://wpsec.it/segnali/smw-inj-sa-blkh-cloudav/ https://wpsec.it/segnali/smw-inj-sa-blkh-cloudav/ Tue, 01 Sep 2026 00:00:00 GMT L'email dell'hosting dice SMW-BLKH-SA-CLOUDAV-php.bkdr.wpplugin.mal-WPPLUGIN1-0. Cosa vuol dire ogni segmento, cosa dicono i dati su INJ, SA e BLKH, e come si passa dal nome alla verifica. Famiglia antivirus https://wpsec.it/segnali/advanced-cache-php/ https://wpsec.it/segnali/advanced-cache-php/ Sun, 30 Aug 2026 00:00:00 GMT advanced-cache.php in wp-content non è un file infetto: è il drop-in che WordPress carica per la cache. Compare su un sito sano su cinque. Quando invece va guardato con attenzione. Non è malware https://wpsec.it/segnali/backdoor-cookie-autologin/ https://wpsec.it/segnali/backdoor-cookie-autologin/ Sun, 30 Aug 2026 00:00:00 GMT Poche righe in functions.php che leggono un cookie e chiamano wp_set_auth_cookie trasformano una visita anonima in una sessione da amministratore. Come si riconosce questa classe di backdoor. Backdoor https://wpsec.it/segnali/bdkr28-file-casuale/ https://wpsec.it/segnali/bdkr28-file-casuale/ Sun, 30 Aug 2026 00:00:00 GMT Nomi come BDKR28_ seguito da caratteri casuali sono generati per sito, quindi non compaiono in nessuna lista pubblica. Perché i cataloghi di firme non bastano. Webshell https://wpsec.it/segnali/cloaking-googlebot-html/ https://wpsec.it/segnali/cloaking-googlebot-html/ Sun, 30 Aug 2026 00:00:00 GMT Quando un file viene incluso nella pagina solo se il visitatore si dichiara Googlebot, il sito sta mostrando al motore qualcosa che agli umani non mostra. Come verificarlo. Cloaking e spam SEO https://wpsec.it/segnali/db-php-dropin/ https://wpsec.it/segnali/db-php-dropin/ Sun, 30 Aug 2026 00:00:00 GMT db.php in wp-content è un drop-in previsto da WordPress e usato da diversi plugin di database. Come distinguerlo in un minuto da un file che ne usa solo il nome. Non è malware https://wpsec.it/segnali/etherhiding-eth-call-c2/ https://wpsec.it/segnali/etherhiding-eth-call-c2/ Sun, 30 Aug 2026 00:00:00 GMT Quando il codice iniettato chiama un nodo RPC di una blockchain, l'indirizzo del server di comando non esiste: le istruzioni stanno in un contratto che non si può sequestrare. Come si riconosce. Cloaking e spam SEO https://wpsec.it/segnali/etherhiding-textdecoder-loader/ https://wpsec.it/segnali/etherhiding-textdecoder-loader/ Sun, 30 Aug 2026 00:00:00 GMT Un blocco JavaScript che costruisce codice a runtime con new Function e TextDecoder non è offuscamento di un builder: è il caricatore di una famiglia di iniezioni. Come riconoscerlo. Cloaking e spam SEO https://wpsec.it/segnali/file-sucuri-falso/ https://wpsec.it/segnali/file-sucuri-falso/ Sun, 30 Aug 2026 00:00:00 GMT Alcune backdoor prendono il nome di un prodotto di sicurezza noto per non essere cancellate. Come distinguere un file lasciato da Sucuri da uno che ne usa solo il nome. Backdoor https://wpsec.it/segnali/finto-plugin-cache-0-byte/ https://wpsec.it/segnali/finto-plugin-cache-0-byte/ Sun, 30 Aug 2026 00:00:00 GMT Un plugin dal nome credibile come wp-file-cacher che non esiste nel repository ufficiale è una delle forme più comuni di backdoor. Come verificarlo dall'esterno e dal server. Doorway e finti plugin https://wpsec.it/segnali/htaccess-filesmatch-allowlist/ https://wpsec.it/segnali/htaccess-filesmatch-allowlist/ Sun, 30 Aug 2026 00:00:00 GMT Un .htaccess con un blocco FilesMatch che elenca nomi di file sconosciuti e li apre a tutti non è una regola di sicurezza: è il router di una backdoor. Come riconoscerlo. Backdoor https://wpsec.it/segnali/include-txt-ico-log-come-php/ https://wpsec.it/segnali/include-txt-ico-log-come-php/ Sun, 30 Aug 2026 00:00:00 GMT Il payload non è nel file PHP: sta in un file dall'estensione innocua che nessun antivirus guarda. Come si riconosce questo schema di occultamento. Backdoor https://wpsec.it/segnali/object-cache-php/ https://wpsec.it/segnali/object-cache-php/ Sun, 30 Aug 2026 00:00:00 GMT object-cache.php è il drop-in che collega WordPress a Redis o Memcached. Compare senza che nessuno lo abbia messo consapevolmente, e viene scambiato per malware. Non è malware https://wpsec.it/segnali/plugin-che-si-autonasconde/ https://wpsec.it/segnali/plugin-che-si-autonasconde/ Sun, 30 Aug 2026 00:00:00 GMT Un filtro su all_plugins con unset e plugin_basename rimuove un plugin dalla lista in dashboard senza disattivarlo. Continua a funzionare, ma non lo vedi. Come trovarlo. Backdoor https://wpsec.it/segnali/redirect-japanese-cloaker/ https://wpsec.it/segnali/redirect-japanese-cloaker/ Sun, 30 Aug 2026 00:00:00 GMT Il sito funziona quando lo apri tu e reindirizza a pagine di spam quando ci arrivi da un motore di ricerca. È cloaking, e si verifica in un modo preciso. Cloaking e spam SEO https://wpsec.it/segnali/suffisso-303f600-rename-hijack/ https://wpsec.it/segnali/suffisso-303f600-rename-hijack/ Sun, 30 Aug 2026 00:00:00 GMT Plugin e cartelle che compaiono con un suffisso aggiunto al nome, per esempio due underscore e sei caratteri, indicano che qualcosa ha preso il posto dell'originale. Cloaking e spam SEO https://wpsec.it/segnali/wp-l0gin-php/ https://wpsec.it/segnali/wp-l0gin-php/ Sun, 30 Aug 2026 00:00:00 GMT wp-l0gin.php non fa parte di WordPress. È il nome di una webshell che imita wp-login.php sostituendo la i con uno zero. Cosa fa, come verificarlo, cosa fare. Webshell https://wpsec.it/segnali/wpmbchik-commento-html/ https://wpsec.it/segnali/wpmbchik-commento-html/ Sun, 30 Aug 2026 00:00:00 GMT Se nel sorgente della tua pagina compare un commento HTML con la parola wpmbchik, il sito serve codice iniettato. Cosa marca quel commento e come si verifica. Cloaking e spam SEO