Sito Joomla hackerato – i primi passi nell'ordine giusto

Con calma, un passo alla volta. Questa guida funziona senza riga di comando – e dice anche dove gli strumenti integrati di Joomla non bastano più.

Che cosa fa l'interruttore «Sito Offline» di Joomla – e che cosa non fa

Joomla può chiudere il sito ai visitatori. L'interruttore si trova in Pannello di controllo›Configurazione globale, nella scheda Sito, e si chiama Sito Offline. Ci sono due limiti da conoscere. Il manuale di Joomla precisa che l'interruttore non vale per l'area di amministrazione né per gli utenti che possono accedere al backend. E Google intende qualcosa di più severo con «mettere offline»: il sito non deve più servire alcun contenuto ai visitatori. Per Google un codice di stato della serie 4xx o 5xx non basta, perché accanto a quel codice possono comunque continuare a essere serviti contenuti dannosi.

Metti al sicuro le tracce prima di fare pulizia

Joomla tiene un proprio registro delle operazioni svolte nel backend, in Utenti›Log azioni utenti. Possono aprirlo soltanto i Super Utenti e si scarica come file CSV direttamente dal backend. Leggilo tenendo presenti i suoi limiti: gli indirizzi IP non vengono registrati finché la relativa opzione resta disattivata, nel log finiscono comunque solo le operazioni delle estensioni selezionate nelle opzioni e le voci più vecchie vengono cancellate dopo un numero di giorni impostato nel plugin corrispondente. Quello che lì non compare, quindi, non è la prova che non sia successo nulla.

Controlla se ci sono account estranei

Apri Utenti›Gestisci. Per ogni account l'elenco mostra fra l'altro Nome utente, Gruppi di utenti, Data ultima visita e Data registrazione. Cerca gli account che non hai creato tu – soprattutto quelli in un gruppo con permessi estesi – e quelli registrati proprio intorno al momento in cui sono iniziate le anomalie.

1. Cambia le password e richiedi l'autenticazione a più fattori

   Cambia le password di tutti gli account del backend. Joomla include di serie l'autenticazione a più fattori e può renderla obbligatoria per un gruppo di utenti: il manuale ufficiale consiglia esplicitamente di attivarla.

2. Elimina gli account estranei

   Cancella gli account che non hai creato tu. Ma la cancellazione da sola non basta, finché la via d'ingresso resta aperta.

3. Aggiorna Joomla e tutte le estensioni

   Il core si aggiorna da Sistema›Aggiorna›Joomla, le estensioni da Sistema›Aggiorna›Estensioni. Tieni conto del limite che Joomla stesso segnala: lì compaiono solo le estensioni che supportano il server di aggiornamento. Tutto il resto va aggiornato a mano.

4. Confronta con l'elenco delle estensioni vulnerabili

   Metti a confronto quello che hai installato con l'elenco ufficiale. C'è anche una categoria per le vulnerabilità senza correzione disponibile: un'estensione che compare lì va rimossa, non soltanto nascosta.

5. Non limitarti a nascondere un'estensione vulnerabile

   La documentazione di Joomla è chiara su questo punto: togliere i link dal menu o depubblicare un modulo non rende l'estensione irraggiungibile.

Un backup da solo raramente risolve

Ripristinare il backup di ieri sembra la soluzione pulita, e a volte lo è davvero. Spesso non lo è. Sucuri riassume così la propria esperienza di bonifica – gli aggressori lasciano quasi sempre una via per rientrare, e nei siti Joomla compromessi si trovano spesso più backdoor di tipo diverso: «Hackers always leave a way to get back into your site. More often than not, we find multiple backdoors of various types in hacked Joomla! sites.» Un backup precedente all'intrusione contiene ancora la vulnerabilità da cui qualcuno è entrato – e uno successivo può contenere già la backdoor.

Quando conviene affidarlo a un professionista

C'è un punto oltre il quale gli strumenti integrati non bastano più. Sucuri lo dice apertamente nella propria guida: alcuni passaggi richiedono l'accesso al server web e al database, e chi non ha dimestichezza con le tabelle del database o con i file sul server dovrebbe chiedere aiuto invece di sperimentare. Non è un fallimento – un sito ripulito a metà che viene compromesso di nuovo costa più di una bonifica fatta bene una volta sola.

Fonti & approfondimenti

• Manuale di Joomla – Sito Offlinel'interruttore e i suoi limiti
• Google – Mettere il sito in quarantenache cosa significa «mettere offline»
• Manuale di Joomla – Log azioni utentiaccesso, esportazione CSV, conservazione
• Sucuri – How to Fix, Clean & Secure a Hacked Joomla! Sitebackdoor e limiti degli strumenti integrati
• Joomla – Elenco delle estensioni vulnerabilielenco ufficiale, comprese le vulnerabilità senza correzione

Fanno sempre fede le informazioni ufficiali del rispettivo sviluppatore. Questa pagina riassume in modo neutrale informazioni pubblicamente disponibili.