Scansione malware su wp-content

In «Scansione malware» (in tedesco: „Malware-Scan“) gira una ricerca per modelli sulla directory wp-content. Legge i file PHP e segnala i punti tipici di webshell o di codice offuscato. L'interfaccia contrassegna ogni corrispondenza espressamente come sospetta, non come confermata.

Avviare la scansione e guardare i rilevamenti

1. La voce «Scansione malware» (in tedesco: „Malware-Scan“) si trova in «Kakapo Security» a sinistra nel gruppo «Scanner».
2. Nella scheda «Scansione sospetti» clicca su «Avvia scansione».
3. Il messaggio finale indica il numero di file scansionati, il numero di occorrenze e la durata in secondi.
4. Nella scheda «Occorrenze» guarda le colonne file, riga, modello ed estratto.
5. Apri tu stesso ogni file segnalato e valuta il punto prima di eliminare o modificare qualcosa.

Che cosa viene cercato

• eval in combinazione con base64_decode, gzinflate, gzuncompress, str_rot13 o rawurldecode
• assert, chiamate di sistema come shell_exec o passthru e call_user_func direttamente con dati da $_POST, $_GET o $_REQUEST
• preg_replace con il modificatore e nonché create_function insieme a base64_decode
• eval o assert applicati a un lungo testo Base64
• identificativi di shell noti come c99shell, r57shell o b374k
• più di 60 sequenze esadecimali nella forma \xNN in un file come indizio di offuscamento
• file PHP nella cartella degli upload — vengono segnalati indipendentemente dal loro contenuto

Anche il codice legittimo può assomigliare agli stessi modelli, da qui l'avviso nell'interfaccia di controllare manualmente ogni corrispondenza. La scansione si limita a leggere i file; non modifica, non sposta e non elimina nulla. Parte esclusivamente alla pressione del pulsante — in automatico gira ogni giorno soltanto la verifica del core.