Cartelle e file rinominati con un suffisso casuale

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

• __303f600
• cartella rinominata con suffisso

• In wp-content/plugins/ e wp-content/themes/, accanto alla versione con il nome corretto
• Su singoli file PHP dentro un plugin, dove l'originale è stato messo da parte

• Conserva l'originale invece di cancellarlo, così il sito non si rompe e l'anomalia non produce errori visibili.
• Permette al file sostitutivo di ereditare il nome atteso, quindi di essere caricato da WordPress al posto di quello legittimo.
• Lascia una traccia molto riconoscibile, perché nessun processo legittimo rinomina le cartelle in quel modo.

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

1. Cerca file e cartelle con un suffisso casuale nel nome

   find wp-content -maxdepth 3 -regextype posix-extended -regex '.*__[a-f0-9]{6,}.*' -ls

2. Cerca coppie di nomi che differiscono solo per un suffisso

   ls wp-content/plugins/ | sed -E 's/__[a-f0-9]+$//' | sort | uniq -d

3. Confronta i plugin con le versioni ufficiali

   wp plugin verify-checksums --all

• Cancellare la cartella rinominata pensando che sia il malware: spesso è l'originale legittimo, e quello ostile è quello con il nome giusto.
• Reinstallare il plugin sopra: se il file sostitutivo resta, viene ricaricato.

• Prima di toccare, stabilisci quale dei due è l'originale confrontando entrambi con la versione ufficiale del plugin.
• Non fidarti del nome per decidere chi è legittimo: in questo schema il nome giusto è proprio quello preso dall'attaccante.
• Reinstalla i plugin coinvolti da fonte ufficiale dopo aver rimosso i file estranei.