Sapevi che ogni giorno vengono creati 560.000 nuovi malware? E che tutti i giorni circa 30.000 siti web subiscono un attacco hacker?
OK, ora sto per rivelarti una notizia sconcertante, ma non allarmarti! Se un sito web viene infettato da un malware, anche dopo la pulizia c’è un altissimo rischio che esso venga colpito nuovamente.
In questo articolo, ti illustrerò alcuni accorgimenti o strumenti che ti permetteranno di controllare se il tuo sito è affetto da malware e mantenerlo al sicuro da attacchi esterni.
Usare WordPress per il tuo sito web ti aiuta a mantenere il tuo sito sicuro, ma è necessario prendere qualche precauzione e non dimenticare l’importanza di un po’ di manutenzione e verificare sempre se il tuo sito è affetto da malware.
Infatti, la piattaforma di sicurezza web Sucuri spiega che gli attacchi hanno avuto poco o niente a che fare con il CMS usato, bensì sono piuttosto legati a versioni obsolete del CMS e dei plugin, configurazioni errate e altre impostazioni generali.
Non serve essere dei geni per avere la tranquillità di avere il proprio sito protetto e al sicuro. Esistono infatti numerosi strumenti creati apposta per WordPress, che ci aiutano a individuare le debolezze e – soprattutto – porvi rimedio.
Vorrei quindi presentarti alcuni servizi che ritengo estremamente utili per proteggere il tuo sito.
Data l’importanza dell’argomento, ti consiglio di leggere questa guida fino alla fine e con una certa attenzione.
Oltre ai 10 migliori scanner di vulnerabilità, ti darò anche degli utili consigli che puoi applicare da subito per proteggere il tuo sito WordPress.
Con il nostro servizio di rimozione malware, inoltre, potrai ricevere il nostro aiuto nel caso in cui avessi la necessità di intervenire rapidamente e con l’intervento di un esperto.
I 10 migliori strumenti per verificare se un sito è affetto da malware
Ho scelto 10 strumenti online per effettuare scansioni del proprio sito web.
Ognuno di questi strumenti ha delle caratteristiche uniche, perciò leggi la descrizione e prova quelli che ti sembrano più adatti a te.
1. WPSec
WPSec (ex WPScans) ha costruito un database che ad oggi contiene oltre 11.000 diverse vulnerabilità riscontrate su temi e plugin di WordPress.
Il servizio effettua una scansione del tuo sito e verifica se ci sono bug che risultano nel suo database.
Ma non si ferma qui, perché infatti verifica anche i possibili errori che possono essere commessi durante l’installazione e la configurazione di WordPress.
WPSec offre un piano gratuito per chi è agli inizi, ed è decisamente un ottimo punto di partenza.
2. Sucuri SiteCheck
Anche Sucuri effettua una scansione gratuita del tuo sito web, verificando se il sito è affetto da malware, o se è finito in una blacklist.
Inoltre, offre, a pagamento, il servizio di rimozione malware e monitoraggio continuo.
È un ottimo strumento per verificare velocemente le condizioni del tuo sito e lo usiamo anche noi da anni per SOS WP.
3. WordPress Security Scan
Questo interessante servizio fornito da Hacker Target effettua una scansione dei plugin, dell’ambiente hosting del tuo sito e delle impostazioni del server.
Puoi effettuare subito un controllo gratuito, che include un’analisi basilare della versione di WordPress e dei plugin, della reputazione del tuo sito su Google, ma anche dei javascript e degli iframes collegati.
Un’analisi più approfondita può essere effettuata attivando uno dei piani di abbonamento, che partono da $10 al mese.
4. WP Recon
Lo strumento è estremamente semplice: inserisci l’URL del sito – o di diversi siti – WordPress che vuoi analizzare e clicca su Start scan.
Il rapporto generato visualizzerà varie informazioni, tra cui la versione di WordPress, dei temi e dei plugin installati, i file JS e gli iFrames collegati, la reputazione del tuo sito su Google, la presenza in blacklist ecc.
Il servizio di WP Recon è gratuito.
5. WordPress Security Scanner by First Site Guide
Questo servizio effettua in pochi secondi una scansione delle principali caratteristiche del tuo sito: verifica la versione di WordPress, controlla se alcuni file come install.php o upgrade.php sono accessibili via HTTP, tenta di recuperare una lista di username ed effettua diversi altri controlli di base.
Durante questo test, il tuo sito non subirà rallentamenti o malfunzionamenti.
6. Immuniweb
Immuniweb effettua un’analisi di server, software di sicurezza, HTTP headers e perfino dei problemi di sicurezza legati al GDPR. Il test potrebbe richiedere qualche minuto, ma al termine avrai un pratico report che assegnerà un “voto” dalla A alla F al sito.
Ti mostrerà anche altri importanti dettagli, per esempio se ci sono plugin da aggiornare o se l’https è configurato correttamente. Se vuoi scaricare il report in PDF, dovrai creare un account gratuito.
7. Google Navigazione Sicura
Se vuoi testare un URL direttamente da Google, senza passare per servizi di terze parti, la sezione Stato dei siti ti permette di effettuare una rapida analisi.
8. Virus Total
Virus Total è molto interessante perché non solo analizza gli URL, indirizzi IP o domini con 70 antivirus, ma permette anche di analizzare file caricandoli direttamente dal tuo PC.
9. UpGuard
Con lo strumento di UpGuard puoi effettuare una scansione oppure creare un account per ottenere scansioni più approfondite.
Oltre a individuare phishing e malware, il servizio ti aiuta a valutare i rischi presenti non solo sul tuo sito, ma anche sulle tue email e sul tuo server, aiutandoti a proteggere il tuo brand.
10. Quttera
Quttera fornisce un servizio di individuazione di malware, controllo delle blacklist, pulizia e interventi tempestivi.
Il servizio è a pagamento, e il suo vantaggio è quello di intervenire rapidamente, ancor prima che i motori di ricerca inseriscano il sito in blacklist.
Consigli per la sicurezza del tuo sito WordPress
Oltre a utilizzare gli strumenti che ti ho appena illustrato, ti consiglio vivamente di applicare queste 10 importanti regole:
- Installa sempre l’ultima versione di WordPress;
- Usa sempre le versioni aggiornate dei plugin;
- Scegli solo plugin provenienti da fonti sicure;
- Crea password forti, lunghe e complesse, con numeri e simboli;
- Non usare lo username Admin;
- Effettua spesso dei backup del sito, utilizzando strumenti come ad esempio Duplicator;
- Non modificare il codice dei file core di WordPress, ossia quelli appartenenti all’installazione di base del CMS;
- Usa l’autenticazione a due fattori;
- Usa un hosting sicuro;
- Limita gli accessi al sito attraverso plugin come Wordfence Security.
Un mio consiglio extra è quello di affidarti a Register.it, l’hosting che utilizzo per SOS WP. Grazie all’uso di tecnologie all’avanguardia, sistemi avanzati di blocco bot maligni e regole di sicurezza aggiornate ogni settimana, è diventato uno degli hosting italiani più sicuri in assoluto.
Su tutti i domini, è inoltre disponibile il DNSSEC, che rende il tuo dominio ancora più sicuro.
Conclusione
Come avrai visto, i rischi di un attacco ci sono e le conseguenze potrebbero essere gravi, ma abbiamo anche tutti gli strumenti per difenderci.
Dai un’occhiata agli strumenti online di cui ti ho parlato e applica le 10 regole il prima possibile.
Se volessi comunque affidarti al nostro servizio di assistenza per eventuali problemi di malware sul tuo sito, non esitare a contattarci, saremo felicissimi di darti il nostro supporto professionale.
Hai mai avuto problemi di vulnerabilità o di attacchi sul tuo sito?
Quali strumenti hai usato per ripristinare la sicurezza?
Raccontaci la tua esperienza nei commenti.
6 Responses
Buongiorno,
quando parlate di autenticazione a due fattori vi riferite a quella attivabile tramite Wordfence Security o relativa all’accesso al Cpanel del servizio hosting?
Ciao, ci riferiamo a quella attivabile attraverso Wordfence Security.
Ciao Andrea, spesso utilizzo wordpress per creare siti ed ecommerce, ne ho pubblicato uno 20 giorni fa. Il proprietario del sito web mi ha detto che alcuni clienti che usano la piattaforma mobile di ANDROID vengono attaccati da un virus appena accedono al sito…
ho fatto un po di prove dal mio cell (huawei (android)) ma non ha prodotto virus. Ho chiamato l’hosting che per prima cosa mi ha detto di cancellare il sito e così ho fatto dopo averlo salvato.
Il sito pubblicato contiene gli ultimi aggiornamenti a tutti i livelli da WP ai plugin. Ora il modello acquistato e pagato con licenza anche di assistenza conteneva i plugin che ho installato e aggiornato. Ho pensato che fossero gli aggiornamenti… invece credo che sia ben altro… ho fatto un po di scansioni con avast ma non ha rilevato nulla … se avessi letto prima questa tua esposizione non l’avrei cancellato ma passato ai controlli per verificare più a fondo. Cosa mi consigli?
Ciao Andrea, senza controllare direttamente il sito è difficile poter dare indicazioni, anche perché le scansioni finora fatte non ti hanno dato dei risultati. Per una consulenza ad hoc puoi contattare il nostro reparto servizi web. Un saluto e a presto!
Buongiorno, una dubbio che mi assilla, Worldfence mi dice che ci sono dei file che contengono codici messi da hacker e mi mostra anche le stringhe incriminate
ESEMPIO:
Filename: wp-includes/wp-tmp.php
File Type: Not a core, theme, or plugin file from wordpress.org.
Details: This file appears to be installed or modified by a hacker to perform malicious activity. If you know about this file you can choose to ignore it to exclude it from future scans. The matched text in this file is: $ip=@file_get_contents(ABSPATH.’wp-includes/wp-feed.php’
The issue type is: Spam:PHP/WP-VCD.5483
Description: Inserts spam code into the site.
OPPURE
Filename: wp-includes/wp-feed.php
File Type: Not a core, theme, or plugin file from wordpress.org.
Details: This file appears to be installed or modified by a hacker to perform malicious activity. If you know about this file you can choose to ignore it to exclude it from future scans. The matched text in this file is: 5.95.146.243\x0a5.157.114.119\x0a188.218.32.101\x0a151.68.32.114\x0a93.146.28.84\x0a
The issue type is: IOC:TXT/WP-VCD.IPs.6675
Description: A file containing a list of IP addresses, common in WP-VCD infections.
, ma facendo la scansione del sito dai vari indirizzi da lei proposti, mi viene risposto che il sito è OK. Come mi devo comportare? Chi ha ragione, Worldfence o i siti online???
Ciao Alfio, purtroppo senza controllare il sito non possiamo darti risposte certe. Ti consigliamo di fare un backup e di “ripulire” il sito come consigliato da Wordfence.