Il fornitore non documenta pubblicamente il significato della sigla, che compare in ogni firma del suo motore. Per la lettura pratica non serve: le informazioni utili stanno nei segmenti successivi, cioè la classe, l'origine della firma e la famiglia.

Lo stesso file ha tre firme separate da virgola. Perché?

Perché il file corrisponde a più regole: per esempio una backdoor remota che contiene anche un dropper e una webshell in un'immagine. Nel corpus le firme multiple sono frequenti sui file più grandi. Si legge la famiglia più specifica e si tratta il file come la più grave delle tre.

L'hosting ha svuotato il file. Il rilevamento è chiuso?

Il file sì, il caso no. Nella configurazione più comune l'antivirus azzera il contenuto e lascia il file al suo posto: nel corpus il 71% dei finti plugin era un file da 0 byte ancora sul disco. La porta da cui è entrato e gli altri artefatti non riconosciuti restano. La scansione va ripetuta dopo la bonifica, non subito dopo la quarantena.

Il mio hosting non usa Imunify. Le firme sono diverse?

Sì: ogni motore ha la propria nomenclatura, per esempio quelle di ClamAV o dei set di firme di terzi. Le famiglie però si sovrappongono: backdoor, dropper, webshell, uploader, mailer. Le pagine di questo catalogo descrivono la famiglia e la verifica, e valgono anche se il nome sull'email è diverso.

MedioFamiglia antivirus

SMW-INJ, SMW-SA, SMW-BLKH, CLOUDAV: come si legge il nome di un rilevamento

Un nome come SMW-BLKH-SA-CLOUDAV-php.bkdr.wpplugin.mal-WPPLUGIN1-0 è composto da quattro parti: il prefisso SMW con la classe del rilevamento (INJ, SA, BLKH o BLKH-SA), l'origine della firma (un identificativo numerico oppure CLOUDAV), la famiglia (php.bkdr.wpplugin.mal) e la variante con la sua revisione (WPPLUGIN1-0). È la nomenclatura usata da Imunify360 e ImunifyAV, l'antivirus installato sulla maggior parte degli hosting condivisi italiani con cPanel, Plesk e CloudLinux. Nel corpus di misura di WPsec.it dell'agosto 2026, 80 siti WordPress compromessi su 110 avevano almeno un rilevamento SMW-BLKH-SA, 40 almeno uno SMW-INJ, 18 almeno uno SMW-SA.

Famiglia: Nomenclatura dei rilevamenti dell'antivirus lato server · Anche noto come: SMW, Imunify360 signature, ImunifyAV · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

SMW-INJ
SMW-SA
SMW-BLKH-SA
SMW-BLKH
CLOUDAV
SMW-INJ-CLOUDAV
SMW-BLKH-SA-CLOUDAV

Dove si trova

Nell'email che l'hosting manda quando l'antivirus trova qualcosa: di solito nella colonna firma, accanto al percorso del file
Nel pannello di hosting, sezione antivirus o Imunify360, voce scanner malware, colonna motivo o firma
Nei ticket di sospensione: il provider cita la firma come prova del rilevamento

Cosa dicono i numeri, prefisso per prefisso

Calcolato dal dataset anonimizzato del corpus WPsec.it, agosto 2026: 22 server, 5.127 domini, 158 compromessi. L'ultima colonna conta i siti WordPress compromessi su 110 che avevano almeno un rilevamento con quel prefisso.

Prefisso	Artefatti	Domini	Dentro WordPress	Nome casuale	Con CLOUDAV	Famiglie più frequenti	Siti WP compromessi
`SMW-BLKH-SA`	3312	105	8%	69%	100%	php.bkdr.wshll (29%), php.bkdr.exec (28%), php.bkdr.drpr (19%)	80 su 110
`SMW-INJ`	2558	72	9%	85%	92%	php.bkdr.drpr (85%), php.bkdr.wshll.img (37%), php.bkdr.remote (37%)	40 su 110
`SMW-SA`	187	24	17%	48%	0%	php.bkdr.drpr (38%), php.bkdr.wshll.drpr (29%), php.gif.bkdr (4%)	18 su 110
`SMW-BLKH`	83	8	2%	7%	0%	php.admin.tool.fm (40%), php.bkdr (29%), php.bkdr.cloaked.png (4%)	3 su 110

SMW-INJ con identificativo numerico e SMW-INJ-CLOUDAV non descrivono lo stesso file

Variante	Artefatti	Domini	Dentro WordPress	Nome predicibile	Nome casuale
`SMW-INJ-<numero>`	214	28	52%	30%	12%
`SMW-INJ-CLOUDAV`	2344	55	5%	1%	92%

La prima variante sta per metà dentro le cartelle di WordPress e ha spesso un nome noto: è codice iniettato in file veri. La seconda sta quasi tutta fuori, con nomi casuali: sono file depositati. Stesso prefisso, due tipi di pulizia diversi.

Cosa fa

SMW-INJ: codice iniettato o depositato. Con identificativo numerico indica per lo più un file legittimo modificato: nel corpus il 52% sta dentro le cartelle di WordPress e il 30% ha un nome noto. Con CLOUDAV indica per lo più un file depositato: il 95% sta fuori da WordPress, con nome casuale nel 92% dei casi.
SMW-SA: file autonomo malevolo, con firma numerica. Nel corpus 24 domini, l'83% dei file fuori dalle cartelle di WordPress, metà con nome casuale.
SMW-BLKH e SMW-BLKH-SA: strumenti da attaccante. La variante con identificativo numerico riconosce strumenti noti, per esempio i file manager (40% dei suoi rilevamenti); la variante BLKH-SA-CLOUDAV è la classe più diffusa del corpus, 105 domini, ed è quella che etichetta webshell, esecutori di comandi e dropper.
CLOUDAV al posto del numero: la firma viene dal motore in cloud del fornitore, non dal database locale. Nel corpus copre il 100% dei BLKH-SA e il 92% degli INJ: è la modalità con cui vengono riconosciute le varianti nuove.
La famiglia, come php.bkdr.wshll: linguaggio, tipo e specializzazione. Ogni famiglia frequente ha una pagina in questo catalogo.
La variante e la revisione, come NP545-6, AUTO22-3 o WPPLUGIN1-0: distinguono due rilevamenti della stessa famiglia. AUTO indica una regola generata automaticamente, più aggressiva e con più falsi positivi documentati.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Estrai dall'email i tre dati che servono: percorso, firma, data del primo rilevamento

Copia percorso completo, firma e data in un file di testo fuori dal sito: sono la base della finestra temporale da esaminare

Controlla se il file esiste ancora e se è stato svuotato

ls -la PERCORSO_SEGNALATO; stat -c 'modificato %y, byte %s' PERCORSO_SEGNALATO

Se hai accesso root al server, elenca i rilevamenti direttamente dall'antivirus

imunify360-agent malware malicious list --json 2>/dev/null || imunify-antivirus malware malicious list --json

Cosa non basta fare

Leggere il prefisso come una scala di gravità: INJ, SA e BLKH descrivono la forma del rilevamento, non quanto è grave. Una backdoor SA e una INJ danno lo stesso accesso.
Cercare nel motore di ricerca l'intera stringa con variante e revisione: quella parte cambia continuamente. La parte utile è la famiglia.
Fermarsi al file segnalato: il nome dice cosa ha trovato l'antivirus, non cosa non ha trovato. Nel corpus, per ogni rilevamento c'erano artefatti non riconosciuti accanto.

Cosa fare

Isola la famiglia nel nome, per esempio php.bkdr.wshll, e apri la pagina corrispondente in questo catalogo: trovi dove si trova, cosa fa e come verificarlo.
Usa il prefisso per decidere che tipo di pulizia serve: INJ numerico vuol dire ripristinare un file legittimo dall'originale, CLOUDAV o SA vuol dire rimuovere un file estraneo e cercare chi lo richiama.
Usa la data del primo rilevamento per aprire la finestra temporale: tutti i file comparsi o modificati da lì in poi vanno esaminati, su tutto l'account.
Non chiedere eccezioni all'hosting prima di aver verificato il file con le somme di controllo, anche se il nome contiene AUTO.