Che differenza c'è tra php.bkdr.drpr e php.dropper?

Sono due famiglie del fornitore per lo stesso ruolo visto da angoli diversi. php.dropper descrive un installatore che scarica il carico da fuori; php.bkdr.drpr descrive una backdoor che ha, fra le sue funzioni, quella di scrivere file. In pratica li trovi insieme, e la bonifica li tratta allo stesso modo: si cerca chi li richiama e da dove sono entrati.

Il file segnalato non ha estensione. È davvero eseguibile?

Da solo no: il web server non lo esegue su richiesta diretta. Viene eseguito quando un altro file PHP lo include, oppure quando una regola di .htaccess dice al server di trattare quel nome come PHP. Per questo la verifica cerca prima gli handler e gli include, poi i file.

SMW-INJ davanti al nome cosa aggiunge?

Nel corpus il 74% dei rilevamenti di questa famiglia porta il prefisso SMW-INJ, che il fornitore usa per il codice iniettato o depositato, contro SMW-SA per i file autonomi. La lettura dei prefissi è spiegata nella pagina dedicata a SMW-INJ, SMW-SA e SMW-BLKH.

CriticoFamiglia antivirus

php.bkdr.drpr: la backdoor che scrive altri file

php.bkdr.drpr è la firma di una backdoor con funzione di dropper: codice PHP che riceve o scarica altro codice e lo scrive sul sito. Nel corpus di misura di WPsec.it dell'agosto 2026 compare su 36 domini compromessi, 27 dei quali WordPress, distribuiti su 11 server: è la seconda famiglia per diffusione. Il 93% dei file ha un nome casuale e il 60% non ha alcuna estensione, cioè non è pensato per essere aperto da un browser ma per essere incluso da un altro componente.

Famiglia: Backdoor dropper · Anche noto come: drpr, bkdr.drpr · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

php.bkdr.drpr
SMW-INJ-CLOUDAV-php.bkdr.drpr
php.bkdr.drpr.obf
php.bkdr.drpr.remote

Dove si trova

Fuori dalle cartelle di WordPress nel 97% dei casi: cartelle di servizio, copie vecchie del sito, sottodomini abbandonati sullo stesso account hosting
Con nomi casuali e senza estensione: un file che si chiama come una stringa di otto lettere e non finisce in .php è il profilo tipico
Accanto a un secondo file che lo include: un .htaccess modificato, un file di plugin ritoccato o una voce in auto_prepend_file

Cosa fa

Scrive altri file sul disco a comando: è lo strumento con cui l'attaccante rimette in piedi l'infezione dopo una pulizia parziale.
Si tiene lontano dai percorsi che i plugin di sicurezza controllano di più, per questo vive quasi sempre fuori da wp-content.
Non fa nulla di visibile da solo: il sito sembra normale finché non arriva il carico successivo.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Cerca file senza estensione che contengono codice PHP

grep -rlI -m1 '<?php' . 2>/dev/null | grep -vE '\.(php|phtml|inc|txt|md)$' | grep -v node_modules | head -40

Cerca chi include quei file: regole di handler e prepend nei .htaccess

grep -rn --include=.htaccess -iE 'AddHandler|AddType|SetHandler|php_value|auto_prepend|auto_append' . | head -20

Trova le funzioni di scrittura su disco nel codice non standard

grep -rn --include='*.php' -E '(file_put_contents|fwrite|fputs)\s*\(' . | grep -vE 'wp-(admin|includes)/|plugins/(akismet|jetpack|woocommerce)/' | head -30

Cosa non basta fare

Cancellare i file che l'antivirus ha elencato: sono l'effetto del dropper, non il dropper. Se resta il componente che li scrive, ricompaiono.
Guardare solo dentro wp-content: questa famiglia vive per il 97% fuori dalle cartelle di WordPress.
Cambiare le password: un dropper non le usa, entra dal file che lo include.

Cosa fare

Parti dai file che l'hosting ha segnalato e cerca chi li richiama: la regola di .htaccess o l'include che li carica è il punto da chiudere.
Controlla tutto l'account hosting, non solo il sito principale: copie vecchie e sottodomini dimenticati sono il posto preferito.
Ripeti la verifica dopo qualche giorno: un dropper con esecuzione periodica può non aver ancora riscritto nulla.
Chiudi il vettore di ingresso: senza quello, il dropper torna insieme al resto.