Lo ricostruiamo passo per passo, con i dati pubblicati dai ricercatori di sicurezza di Sucuri. In fondo trovi i controlli da fare sul tuo sito e le regole per non correre lo stesso rischio.

Il protagonista: Balada Injector

Balada Injector è una campagna di attacchi che da anni colpisce i siti WordPress sfruttando plugin e temi non aggiornati. Secondo Sucuri, nel solo settembre 2023 il suo scanner SiteCheck ha trovato varianti di Balada Injector su oltre 17.000 siti, quasi il doppio rispetto ad agosto. Più di 9.000 di questi casi erano legati alla falla che raccontiamo qui.

La porta d’ingresso: tagDiv Composer

• tagDiv Composer è un plugin per costruire le pagine (un page builder) distribuito insieme ad alcuni temi commerciali molto usati dai siti di notizie e dai blog.
• La falla, identificata come CVE-2023-3169, permetteva a chiunque, senza nemmeno essere registrato, di salvare codice JavaScript nelle impostazioni del sito. È stata resa pubblica a metà settembre 2023 e corretta con la versione 4.2 del plugin.
• Gli attacchi sono partiti subito dopo. Molti siti, però, sono rimasti scoperti a lungo: i plugin inclusi nei temi a pagamento spesso si aggiornano solo insieme al tema, e per questo restano indietro più facilmente.

Come si sviluppa un’infezione

1. L’ingresso. Il codice malevolo viene salvato in un’impostazione del database chiamata td_live_css_local_storage, dentro un blocco che comincia con <style id="tdw-css-placeholder">. Da lì viene stampato in tutte le pagine pubbliche del sito.
2. I visitatori. Lo script carica altro codice da domini controllati dagli attaccanti e può dirottare chi visita il sito verso pagine truffa.
3. Gli amministratori. Se a visitare il sito è un amministratore collegato, lo script agisce con i suoi permessi e crea un nuovo account amministratore. Nelle prime ondate si chiamava “greeceman”; poi i nomi sono diventati le prime quattro lettere del dominio seguite da “mann”, per esempio “exammann” per example.com. La password viene inviata agli attaccanti.
4. Le porte di servizio. Per sopravvivere alla pulizia, il malware installa un plugin che si nasconde dall’elenco in bacheca (i nomi trovati da Sucuri sono wp-zexit e wp-swamp), inserisce una backdoor nel file 404.php del tema e aggiunge codice in cima ad alcuni file JavaScript di WordPress, come jquery-migrate.min.js.

Il risultato è un sito che a vista sembra normale, ma che lavora per qualcun altro. E cancellare solo la prima iniezione non basta: le porte di servizio rimettono tutto com’era.

Come accorgersene

Di solito non ci sono segnali evidenti. Questi controlli richiedono pochi minuti:

• Guarda il codice delle pagine. Apri il sito da una finestra privata, premi Ctrl+U (su Mac Cmd+Opzione+U) e cerca script che non riconosci, soprattutto quelli offuscati, cioè scritti apposta per essere illeggibili, o con indirizzi strani.
• Controlla gli utenti. Cerca amministratori che non hai creato, in particolare con i nomi visti sopra.
• Guarda i plugin dal server, via FTP o dal pannello dell’hosting, e non solo dalla bacheca: alcuni plugin malevoli lì non compaiono.
• Usa uno scanner online come SiteCheck di Sucuri per una prima diagnosi.
• Leggi i log del server, se puoi: secondo Sucuri, richieste POST che ricevono una risposta 404 possono indicare che qualcuno sta usando la backdoor.

Come si ripulisce, passo per passo

Una regola prima di cominciare: finché lo script è attivo, ogni visita al sito da amministratore può reinfettarlo. Per questo la rimozione del malware va fatta per prima, e nel frattempo il sito non va navigato da collegati.

1. Backup completo prima di toccare qualsiasi cosa. File e database, salvati fuori dalla cartella pubblica del sito. Anche una copia del sito infetto serve: per tornare indietro se qualcosa va storto e per capire cosa è successo.
2. Rimuovi l’iniezione dal database. Trova il codice nell’impostazione td_live_css_local_storage, salvane una copia a parte e cancellalo.
3. Elimina gli amministratori sconosciuti.
4. Cerca plugin nascosti e backdoor: la cartella dei plugin sul server, il file 404.php del tema, i file JavaScript di WordPress modificati. Verifica che i file di WordPress siano quelli originali, per esempio con il comando wp core verify-checksums di WP-CLI.
5. Svuota la cache. È il passaggio che si dimentica più spesso: le pagine salvate in cache continuano a servire il codice infetto anche dopo la pulizia.
6. Controlla gli altri siti sullo stesso hosting. Quando più siti condividono lo spazio, un’infezione può spostarsi dall’uno all’altro.
7. Togli la causa, non solo il sintomo. Aggiorna tagDiv Composer almeno alla versione 4.2 oppure, se non ti serve più, disattivalo ed eliminalo insieme al tema che lo richiede. Poi aggiorna WordPress, i temi e tutti i plugin.
8. Cambia tutte le password (WordPress, pannello dell’hosting, database) e rigenera le chiavi di sicurezza di WordPress, così le sessioni eventualmente rubate smettono di funzionare.

Perché il malware punta agli amministratori

Questi script si attivano nel browser di chi visita il sito. Se il visitatore è un amministratore collegato, il codice può agire con i suoi permessi: creare utenti, installare plugin, modificare file. Per questo Sucuri consiglia di non navigare il proprio sito mentre si è collegati come amministratore: per vederlo come un lettore usa una finestra privata o un altro browser.

Le regole per non correre lo stesso rischio

• Aggiorna subito WordPress, temi e plugin, soprattutto quando l’aggiornamento corregge una falla di sicurezza. Vale doppio per i plugin inclusi nei temi a pagamento, che non sempre si aggiornano dalla bacheca.
• Meno plugin possibile. Ogni plugin è codice in più da tenere aggiornato. Quelli che non usi vanno disattivati e cancellati.
• Solo fonti ufficiali. Temi e plugin “premium” scaricati gratis da siti non ufficiali sono una delle porte d’ingresso più comuni.
• Backup automatici fuori dal server, e ogni tanto prova a ripristinarne uno.
• Disattiva l’editor di file in bacheca aggiungendo define('DISALLOW_FILE_EDIT', true); al file wp-config.php: se qualcuno ruba un accesso, non può modificare il codice da lì.
• Un account editor per scrivere. Usa l’account amministratore solo quando serve davvero.

Pensi che il tuo sito sia infetto?

1. Non cancellare niente di getto: prima fai un backup, anche del sito infetto.
2. Passa il sito in uno scanner online per una prima diagnosi.
3. Se il sito usa tagDiv Composer, controlla subito la versione del plugin e l’impostazione td_live_css_local_storage nel database.
4. Controlla utenti amministratori, plugin installati e file modificati di recente.
5. Dopo la pulizia aggiorna tutto, svuota la cache e cambia tutte le password.

Se non te la senti di mettere mano al database, fatti aiutare da chi lo fa di mestiere: un intervento sbagliato può fare più danni dell’infezione.

Fonti

• Sucuri – Balada Injector e la falla di tagDiv Composer (ottobre 2023)
• Rapid7 – tagDiv Composer, CVE-2023-3169

The post Malware su WordPress, un caso studio: la falla di tagDiv Composer appeared first on Sitissimo.com.

Il team di Google Drive, ha da poco rilasciato un plugin per Google Chrome, che vi aiuterà a salvare intere pagine web, o anche singole immagini, direttamente sul vostro spazio Google Drive.

Potrete scegliere se salvare le pagine in formato .html tradizionale, come Google documents oppure in formato .mht, dove l’intera pagina (inclusi fogli di stile e javascript) è “compressa” in un unico file, visualizzabile poi su qualunque browser, inclusi Internet Explorer e Firefox.

Una volta installato il plugin però, avremo anche altre funzioni, che ci permetteranno di salvare immagini web direttamente sul nostro spazio Google Drive (nella cartella radice, senza possibilità di modifica), inoltre potremo “scattare” istantanee della schermata browser che stiamo visualizzando.

Il formato di salvataggio delle immagini, di default sarà in .png, ma potremo utilizzare questa funzione, anche per salvare file in .PDF, documenti Office, file audio e file video (in svariati formati).

The post Salvare pagine web su Google Drive appeared first on Sitissimo.com.

Era prevedibile uno store dedicato all’ormai famosissimo CMS (content management system) WordPress, dopo gli store dedicati a smartphone, tablet, browser e addirittura Facebook.

Lo scopo è ovviamente quello di permettere l’acquisto e il download di plugin o temi per il proprio sito/blog direttamente dalla propria bacheca, senza la necessità di ricercarli su siti esterni.

Il video mostra il funzionamento di WP App Store, che in pratica è un normalissimo plugin, che una volta installato (trovate le istruzioni molto semplici direttamente sul sito) permette la navigazione, la ricerca, e di leggere valutazioni e commenti.

The post L’App store anche per WordPress appeared first on Sitissimo.com.

Adobe ha annunciato di voler abbandonare il supporto alla versione mobile (smatphone, tablet..) di Flash player, una presa di coscienza da parte dell’azienda, dell’inesorabile avvento di HTML 5, che sarà in grado di rimpiazzarlo in maniera più adeguata sui dispositivi mobili.

HTML5 ha da subito convinto grandi produttori come Apple, che avevano infatti ammesso di non voler includere il supporto a Flash, perchè quest’ultimo rendeva la navigazione web troppo “pesante” per l’utente, preferendogli la tecnologia di HTML 5.

Adobe si impegnerà nella realizzazione di applicazioni con Adobe Air in grado di funzionare sui dispositivi mobili e che saranno distribuite sui vari store come iTunes App Store, Android Market, Amazon Appstore per Android e BlackBerry App World.

Il supporto all’attuale versione di Flash, con correzione di eventuali bug, rimane comunque assicurata dall’azienda.

The post Addio a Flash player sui dispositivi mobili appeared first on Sitissimo.com.

Quanti di voi stanno aspettando la nuova versione di Google Toolbar per il nuovo Firefox 5 (oppure 5.0.1) ? Bene, cioè male, mettetevi l’anima in pace perchè Google ha annunciato di non voler più aggiornare la Toolbar per il suo browser concorrente.

La decisione è stata motivata specificando che le nuove versioni di Firefox, dalla 5 in poi, integrano già in maniera nativa diverse delle funzioni che Google Toolbar aggiungeva, dunque l’add-on non sarà reso compatibile per le versioni future del browser di Mozilla, ma rimarrà utilizzabile fino alla versione 4.

Mozilla non è ovviamente contenta di questa decisione, e sta trattando con Google, affinchè lo sviluppo continui, visto che molti utenti Mozilla, stanno proprio aspettando la toolbar di Google, per passare dalla versione 3.6 di Firefox, all’ultima disponibile fino a oggi.

Personalmente ritengo la mossa di Google, strategicamente comprensibile, per portare molti utenti affezionati al panda rosso dalla parte di Chrome, che sta, mese dopo mese, acquisendo sempre più consensi e utenza a livello mondiale.

The post Niente più Google Toolbar per Firefox appeared first on Sitissimo.com.

Uscita ieri sera, la nuova versione della piattaforma blog o CMS che dir si voglia, più famosa e utilizzata: WordPress 3.0. Per poterlo utilizzare, potete andare direttamente sul sito ufficiale. Per sapere tutte le novità e le caratteristiche di questa nuova major release, potete vedere il video a inizio articolo e questo post sul blog ufficiale.

Se avete già un sito con WordPress potete aggiornare direttamente online dalla bacheca dell’area amministrativa. Vi ricordo che al momento è disponibile solo la versione inglese, per quella italiana, bisognerà attendere qualche giorno. Se volete potete controllare il sito italiano ufficiale.

The post Ecco il nuovo WordPress 3.0 appeared first on Sitissimo.com.

Oggi un piccolo articolo, veloce e semplice, vi indico un plugin da installare sul vostro blog di wordpress, per aggiungere un simpatico effetto nevicata (potete vederlo adesso in azione su sitissimo.com).

Il plugin si chiama Let it Snow, ed è scaricabile tranquillamente dal database plugin di wordpress.org.

The post Aggiungere la neve al vostro blog wordpress appeared first on Sitissimo.com.

Inizialmente, Chrome aveva stupito molti per la sua velocità di navigazione, persino gli utenti di Firefox, abituati già molto bene, date le ultime versioni che si sono migliorate molto anche sotto questo aspetto. Chrome ha però dalla sua, ancora per il momento, un consumo più parsimonioso della memoria RAM, cosa che Firefox continua a divorare spesso e volentieri, anche se molto meno rispetto al passato.

Chrome però fino a qualche tempo fa aveva un grossissimo difetto agli occhi degli utenti del panda rosso, e cioè quello di non avere “estensioni” per poter amplificare le funzioni del browser, tramite applicazioni di terzi. Cosa che da qualche tempo è stata finalmente pareggiata, e oggi infatti sono qui a segnalarvi un ottimo sito, dove sono raccolte alcune delle estensioni disponibili a oggi per Google Chrome.

Il sito in questione, che funziona a mò di archivio è : ChromeExtensions.org

Qui troverete estensioni di ogni tipo, dalle più “inutili” a quelle che possono realmente farvi risparmiare del tempo e esservi utili in diversi momenti, soprattutto se state molto al pc per motivi di lavoro.

The post Le estensioni per Chrome raccolte in un solo sito appeared first on Sitissimo.com.

Riporto alla vostra attenzione, soprattutto di coloro che hanno un blog con WordPress, questo interessante plugin, che come un vero e proprio Antivirus, scansiona i file dei vostri template, segnalandovi righe di codice sospette o maligne.

Non dovete far altro che caricare la cartella Antivirus sul vostro spazio web (solitamente nella cartella wp-contents/plugins) e dalla Gestione Plugin, attivarlo normalmente come qualsiasi altro. Dopo di che, potrete subito effettuare una scansione manuale e/o impostare una scansione giornaliera con un invio automatico di un’email, nel caso l’antivirus trovi qualcosa di particolarmente sospetto.

Insomma uno dei MUST HAVE tra i plugin disponibili per WordPress.

>> Link a Antivirus plugin per WordPress

The post Antivirus per WordPress, possibile con questo plugin appeared first on Sitissimo.com.

Partendo dal presupposto che Firefox 3, è uno dei migliori browser disponibili, anche senza alcun “aiuto”, oggi voglio portare alla vostra attenzione alcuni addon , ovviamente freeware, che potrebbero ulteriormente migliorare la vostra esperienza di navigazione con il “panda rosso”.

Cominciamo:

AdBlock Plus – Uno degli ormai celebri addon per tenersi alla larga da tutti quei banner e popup particolarmente fastidiosi.

DownThemAll – Un addon che vi permette di gestire al meglio i vostri download, e di riprendere i download che per vostra sfortuna dovessero interrompersi, magari all’85% (anche il download manager di Firefox, ha la funzione di ripresa dei download, che però non funziona in alcuni casi).

Flashblock – Questo particolare addon, permette di bloccare tutti quegli elementi in flash che spesso sono esosi di risorse, rallentando spesso la navigazione, soprattutto se si utilizza un computer non molto potente, o una connessione non molto veloce.

Greasemonkey – Un addon che permette l’utilizzo di svariati script che interagendo col browser, permettono diversi trucchetti, o altro. Su Userscripts.org ne troverete moltissimi.

The post 7 Addon per rendere la navigazione con Firefox più piacevole appeared first on Sitissimo.com.