wpmbchik: il commento HTML che segna una pagina iniettata
Il commento HTML wpmbchik è un marcatore lasciato da un iniettore che aggiunge JavaScript malevolo alle pagine di WordPress: non ha nessuna funzione tecnica, serve all'attaccante per riconoscere le pagine già infettate. Nei casi trattati da WPsec.it accompagnava un caricatore che recuperava il proprio codice da un contratto su blockchain, tecnica nota come EtherHiding.
Famiglia: EtherHiding WordPress injector · Aggiornato il 30 agosto 2026
Le stringhe esatte
Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.
<!-- wpmbchik -->wpmbchik
Dove si trova
- Nel sorgente HTML della homepage e delle pagine pubbliche, visibile con Visualizza sorgente pagina
- Vicino a un blocco di JavaScript offuscato, spesso subito prima o subito dopo
- Iniettato dinamicamente, quindi assente dai file del tema: viene aggiunto quando la pagina viene generata
Cosa fa
- Marca le pagine già trattate, così l'iniezione non viene applicata due volte.
- Accompagna un caricatore JavaScript che scarica ed esegue codice da una fonte esterna, quindi il contenuto malevolo può cambiare senza toccare il sito.
- Non è visibile ai visitatori: sta in un commento HTML, che il browser non mostra.
Come verificare
Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.
Cerca il marcatore nell'HTML servito dal sito
curl -s https://ESEMPIO.it/ | grep -o 'wpmbchik'Cerca il marcatore nei file del sito
grep -rn 'wpmbchik' . 2>/dev/nullCerca il marcatore nel database, dove le iniezioni spesso risiedono
wp db search 'wpmbchik' --all-tables
Cosa non basta fare
- Ripulire la homepage. L'iniezione è dinamica: viene riapplicata alla generazione della pagina successiva.
- Svuotare la cache. Rimuove l'effetto visibile per qualche minuto, non la causa.
Cosa fare
- Cerca il marcatore contemporaneamente nei file e nel database: se non è nei file, è quasi sempre in una option o in un post_content.
- Individua il codice che genera l'iniezione, non solo il risultato: di solito è una funzione agganciata a un hook di output.
- Dopo la rimozione verifica il sorgente servito dall'esterno, non la copia in cache del browser.