Il lato oscuro dei MU-Plugins: il trucco usato dagli hacker per violare WordPress

Come funziona l’attacco

Secondo un’analisi condotta dai ricercatori di Sucuri, gli hacker caricano nella directory wp-content/mu-plugins/ file PHP infetti, in grado di:

Reindirizzare gli utenti verso siti fraudolenti, come falsi aggiornamenti di browser (es. redirect.php)

Aprire backdoor permanenti nel server (index.php) per eseguire codice arbitrario

Iniettare contenuti spam (es. sostituzione di immagini e link con materiale esplicito o pubblicità dannosa)

In molti casi, questi file appaiono perfettamente legittimi o sono mascherati da plugin di sistema.

Perché è difficile da rilevare

La natura dei MU-Plugins rende questo tipo di malware particolarmente insidioso:

Non sono elencati nella sezione "Plugin installati"

Vengono caricati prima di qualsiasi altro plugin

Molti strumenti di sicurezza non monitorano attivamente quella directory

I file possono rimanere attivi anche dopo la rimozione del malware altrove

Come proteggere il proprio sito

Per mitigare il rischio, si consiglia di adottare misure preventive specifiche:

Controllare manualmente la cartella wp-content/mu-plugins/ per individuare file sospetti

Aggiornare regolarmente WordPress, temi e plugin

Abilitare l’autenticazione a due fattori per tutti gli utenti amministratori

Utilizzare plugin di sicurezza avanzati (es. Wordfence, Sucuri Security)

Configurare un Web Application Firewall (WAF) per bloccare traffico anomalo e exploit

Inoltre, è fondamentale monitorare l’integrità dei file di sistema e tenere traccia delle modifiche inattese all’interno del file system.

Conclusioni

L’abuso dei MU-Plugins rappresenta una minaccia crescente per l’ecosistema WordPress, e la sua natura discreta richiede un approccio proattivo e tecnico nella gestione della sicurezza del sito. Investire nella prevenzione e nell’analisi approfondita dei file è oggi più che mai una priorità per chi gestisce piattaforme basate su WordPress.