WP-VCD és una família de persistència sovint associada a temes de WordPress no fiables o modificats. Eliminar l’anunci o redirecció visible no és suficient si un loader encara pot tornar a copiar codi maliciós als fitxers del tema.
Identifica el tema compromès i totes les còpies
Registra fitxers sospitosos, timestamps i hashes abans de substituir-los. Compara temes actius i inactius amb paquets fiables, perquè la persistència pot estar en un tema que ara no està seleccionat.
Segueix el loader en comptes de perseguir fragments injectats
- Busca includes inesperats i PHP generat als directoris de tema.
- Revisa tasques programades i codi de càrrega primerenca.
- Comprova directoris escrivibles per trobar còpies addicionals.
- Audita usuaris administradors i credencials utilitzats durant la finestra de compromís.
Altres superfícies de persistència relacionades
Si escriu executables a media, revisa PHP dins de wp-content/uploads. Si els fitxers arrel continuen canviant, compara la reinfecció d’index.php.
Substitueix el codi afectat des d’una font fiable
- Conserva mostres i logs.
- Retira el tema no fiable o compromès.
- Instal·la una còpia neta amb origen verificable.
- Elimina loaders secundaris i persistència programada.
- Rota credencials privilegiades i invalida sessions desconegudes.
No utilitzis un tema nulled com a baseline recuperat
Si el paquet no és fiable ni actualitzable, netejar fitxers individuals no crea un estat segur a llarg termini.
Verificació després de diversos cicles
Els fitxers del tema han de mantenir-se iguals al baseline fiable amb trànsit, cron i caches normals, sense anuncis, redireccions o payloads regenerats.
CRITERI D’INCIDENT WP REPAIR
Reconstrueix la incidència abans de corregir-la
La infecció sovint toca múltiples temes i pot crear persistència programada. Un inventari de paquets nets i l’historial d'origen són essencials.
- 1
Identifica cada tema i plugin instal· lats des de fonts no oficials o nul· les.
- 2
Cerca de noms de fitxers de carregadors coneguts i inesperats inclou a través de temes.
- 3
Inspecciona cron, usuaris, càrregues i fitxers PHP recentment modificats.
- 4
Preserva hashes i fitxers de paquets abans d'eliminar-los.
Què ha de quedar verificat
- Tots els temes i plugins han confiat en la seva procedència.
- No reapareix cap injecció de tema creuat ni cron maliciosa.
- Les sol·licituds sortints, les redireccions i els usuaris administradors continuen sent normals.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Si retiro el òbviament infectat theme, està el lloc net?+
No és fiable. WP-VCD és conegut per tocar múltiples themes en la mateixa instal·lació i crear persistència programada, de manera que la neteja només l’actiu theme mentre deixa altres entrades infectades themes i cron en el seu lloc probablement conduirà a la reinfecció.
És la cerca i eliminació d’un nom de fitxer WP-VCD ben conegut una solució suficient?+
No. Variants d’aquest malware reanomenar els seus fitxers del carregador i també pot deixar darrere portes del darrere genèric que no coincideixi amb cap nom de fitxer conegut, de manera que una recerca limitada a una signatura es perdrà infeccions relacionades.
Per què la infecció per WP-VCD generalment es remunta a un tipus específic de font plugin o theme?+
Està fortament associat amb paquets Pirated o 'nulled' theme i plugin que venen pre-agrupats amb codi de carregador maliciós. Identificar cada component instal·lat de fonts no oficials és un primer pas necessari per rastrejar l’origen de la infecció.
S' han d’editar els fitxers theme infectats per eliminar el codi maliciós?+
Reinstalar themes i plugins nets de fonts oficials és més segur que editar fragments sospitosos en el seu lloc, ja que les edicions manuals poden perdre el codi porta del darrere integrat que no és obvi en la inspecció.