Il file segnalato è vuoto. Perché l'email dice che è malware?

Perché l'email descrive cosa conteneva quando è stato rilevato. L'antivirus dell'hosting, nella configurazione più comune, svuota il file invece di cancellarlo, per evitare di rompere il sito se si trattasse di un falso positivo. Il file vuoto è la prova del rilevamento, non della pulizia.

Che differenza c'è fra php.tool.misc e php.bkdr?

bkdr indica un canale di accesso; tool indica uno strumento usato da chi quel canale lo ha già. Trovare un tool senza trovare la backdoor è il segno tipico di una pulizia incompleta: lo strumento era visibile, la porta no.

AltoFamiglia antivirus

php.tool.misc: lo strumento da attaccante che l'antivirus svuota e lascia lì

php.tool.misc è la firma con cui l'antivirus lato server classifica uno strumento da attaccante che non rientra nelle categorie più precise: non è una shell, non è un uploader, non è un mailer, ma è codice che sul sito non ha ragione di esistere. Nel corpus di misura di WPsec.it dell'agosto 2026 compare su 7 siti WordPress e 4 server, e ha un tratto unico: nel 95% dei casi il file era stato svuotato dall'antivirus e lasciato sul disco, da 0 byte, con il suo nome e nella sua cartella.

Famiglia: Strumento da attaccante, generico · Anche noto come: tool.misc, AUTO22 · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

php.tool.misc
SMW-BLKH-SA-CLOUDAV-php.tool.misc-AUTO22
tool.misc

Dove si trova

Dentro wp-content nel 76% dei casi: cartelle secondarie come cache, upgrade o languages nel 43%, plugin nel 29%
Con nome di senso compiuto o con una stringa esadecimale: le due forme coprono quasi tutti i rilevamenti
Quasi sempre da 0 byte quando lo trovi: l'antivirus ha già agito sul contenuto

Cosa fa

Dipende dallo strumento: nel corpus la famiglia raccoglie script di ricognizione, scanner di altri siti sullo stesso server e utilità di supporto per il resto dell'infezione.
Da 0 byte non fa più nulla, ma la sua presenza dice due cose: che l'attaccante era dentro, e che nessuno ha ancora fatto pulizia.
Serve come segnaposto: uno strumento svuotato viene spesso riscritto dal dropper alla prima occasione.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Cerca i file PHP da 0 byte: sono i rilevamenti svuotati e mai rimossi
```
find . -name '*.php' -size 0 -not -path '*/node_modules/*' -ls
```

Elenca i file PHP nelle cartelle di wp-content che non dovrebbero contenerne

find wp-content/uploads wp-content/cache wp-content/upgrade wp-content/languages -name '*.php' 2>/dev/null -ls

Cerca file con nome esadecimale

find . -type f -regextype posix-extended -regex '.*/[0-9a-f]{8,}\.php' -ls 2>/dev/null | head

Cosa non basta fare

Considerare chiuso il caso perché il file è vuoto: il vuoto è l'effetto della quarantena, non della bonifica.
Cancellare i file da 0 byte e fermarsi: erano strumenti, e gli strumenti arrivano dopo l'ingresso, che è ancora aperto.

Cosa fare

Usa i file svuotati come mappa: la loro data di creazione e la loro cartella dicono in che momento l'attaccante ha lavorato, e dove.
Cerca nella stessa finestra gli artefatti che l'antivirus non ha svuotato: backdoor, dropper, file di include.
Rimuovi i file da 0 byte e le cartelle che non appartengono a nessun componente.
Chiudi il vettore di ingresso e ripeti la scansione dopo qualche giorno.