Scanner malware: gestire falsi positivi e quarantena

Perché serve un metodo strutturato

Gli scanner malware sono strumenti utili ma non perfetti. I falsi positivi capitano: file legittimi modificati, plugin personalizzati o firme simili. Senza un metodo chiaro si rischia di eliminare file necessari o ripristinare file compromessi. La procedura seguente aiuta le agenzie a gestire gli alert su WordPress, WooCommerce e PrestaShop.

Passi decisionali

1. Gravità iniziale

• Registra la gravità segnalata dallo scanner (bassa, media, alta). Un livello alto richiede attenzione immediata; uno basso può essere verificato con calma.

2. Impronta del file

• Calcola e salva l'hash SHA256 del file. Cerca la stessa impronta in fonti ufficiali (repository plugin/tema, release GitHub ufficiali) per verificare se è un file noto.

3. Origine del file

• Controlla il percorso: file in wp-content/plugins/nome-plugin/ sono attesi; file PHP in posizioni inconsuete sono sospetti. In WooCommerce verifica se l'alert riguarda pagamenti o webhook.

4. Confronto con la fonte ufficiale

• Scarica il pacchetto ufficiale e confronta i file (diff/sha256). Differenze piccole e spiegabili (traduzioni, commenti) spesso indicano un falso positivo.

5. Verificare cambiamenti legittimi

• Controlla la cronologia delle distribuzioni e i commit. Un aggiornamento recente o una personalizzazione possono giustificare le differenze.

6. Backup prima di agire

• Esegui un backup completo (file + DB) prima di cancellare o ripristinare. Testa il ripristino in staging.

7. Quarantena reversibile

• Metti il file in quarantena (spostamento in cartella isolata, disattivazione del plugin) invece di cancellarlo. Documenta data, impronta e motivo.

8. Allowlist mirata

• Se il file è necessario per funzionalità critiche (pagamenti, sincronizzazioni), applica una allowlist mirata: limitazione IP, disattivazione di funzioni o regole WAF temporanee.

9. Nuova scansione e monitoraggio

• Riesegui la scansione dopo la quarantena e dopo il ripristino dalla fonte ufficiale. Attiva il monitoraggio dell'integrità dei file e dei log per almeno 72 ore.

10. Documentazione e comunicazione

• Conserva prove (hash, diff, estratti di log) e registra le azioni. Informare il cliente/il team sui rischi residui e i passi successivi.

Note specifiche per piattaforma

• WordPress: confronta con WordPress.org e i pacchetti forniti dai vendor. Attenzione ai plugin commerciali customizzati.

• WooCommerce: controlla hook di pagamento, gateway e webhook; esegui pagamenti di prova in staging dopo modifiche.

• PrestaShop 1.7–9: verifica /override/ e i moduli di terze parti. I moduli possono contenere eseguibili server-side; confronta con i pacchetti ufficiali.

Checklist pratica

• Registrare gravità e salvare l'alert

• Calcolare e salvare SHA256

• Confrontare con la fonte ufficiale

• Verificare cronologia deployment

• Eseguire backup completo

• Mettere in quarantena invece di cancellare

• Applicare allowlist mirata se necessario

• Rieseguire scansione e monitorare 72+ ore

• Documentare e informare gli stakeholder

Quando coinvolgere professionisti

Se l'alert coinvolge dati sensibili, incidente in produzione o segnali di compromissione (utenti sconosciuti, connessioni outbound sospette), coinvolgi specialisti. Un'analisi forense garantisce una risposta corretta e proporzionata.

Conclusione

Una quarantena reversibile combinata a una procedura chiara riduce gli errori. Prioritizza backup, controllo delle impronte, least privilege e monitoraggio. Strumenti di integrità dei file e processi documentati aiutano le agenzie a proteggere WordPress, WooCommerce e PrestaShop senza bloccare l'attività.