Per què cal mirar mu-plugins per separat: el codi de wp-content/mu-plugins es carrega a cada petició abans que els plugins normals. A més, un loader molt petit pot ser l’únic rastre visible al tauler, mentre el payload real viu en una altra ruta.
Inventaria tots els fitxers i la seva procedència
Recull nom, hash, data de modificació i propietari de cada fitxer i subdirectori. Compara-ho amb la documentació de l’hosting, de l’agència o del sistema de desplegament: molts proveïdors utilitzen MU plugins legítims per a cache, seguretat o routing.
Segueix cada include i cada loader
- Obre els loaders i identifica totes les rutes carregades amb
requireoinclude. - Busca crides remotes, escriptura de fitxers, creació d’usuaris i execució condicional.
- Comprova si el fitxer esperat coincideix amb una còpia de confiança.
- Preserva hashes i timestamps abans de substituir res.
La persistència pot estar fora de mu-plugins
Un MU plugin pot restaurar codi en un tema, un plugin normal, una tasca cron o una opció de base de dades. El directori és el punt d’entrada, no necessàriament l’únic lloc compromès.
Elimina la persistència sense trencar funcionalitat legítima
- Confirma quins MU plugins són de plataforma i quins no tenen propietari legítim.
- Retira loaders maliciosos i tots els payloads que carreguen.
- Restaura fitxers modificats des de fonts de confiança.
- Revisa configuració del servidor, cron i base de dades per si hi ha una segona via de persistència.
Loader maliciós o plugin legítim modificat?
Si un fitxer mínim carrega una ruta oculta o aliena, segueix tota la cadena. Si un component conegut ha canviat, compara’l amb la versió oficial i determina qui el va modificar. Revisa també persistència a wp_options i tasques cron malicioses, perquè qualsevol de les dues pot recrear el codi.
No esborris tot mu-plugins de cop
En un hosting gestionat pots desactivar cache, seguretat o routing imprescindibles i complicar encara més la recuperació.
Com saber que la via primerenca ha desaparegut
Cada MU plugin ha de tenir un propietari i una funció documentats, no hi ha d’haver includes ocults ni payloads desconeguts, i el lloc ha de superar reinicis, cron i cicles de cache sense que el codi torni a aparèixer.
CRITERI D’INCIDENT WP REPAIR
Reconstrueix la incidència abans de corregir-la
Els atacants utilitzen aquesta ubicació perquè els propietaris del lloc sovint inspeccionen només la llista estàndard plugin. Els amfitrions legítims i les agències també l’usen, pel que importa la procedència.
- 1
Vas portar cada fitxer i subdirectori sota els plugins mu amb hashes i data i hores.
- 2
Obre els fitxers del carregador i rastregi totes les rutes requerides o incloses.
- 3
Compara el directori amb la documentació de servidoring, agència i desplegament.
- 4
Cerca de sol· licituds remotes, creació d’usuaris, escriptures de fitxers i execució condicional.
Què ha de quedar verificat
- Cada MU plugin té un propietari documentat i un propòsit.
- Cap rastre ocult inclou o restos de comportament maliciós.
- El lloc funciona a través de cicles de reinici, cron i memòria cau sense reinfecció.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Cada fitxer dins de Mu-plugins és sospitós per defecte?+
No. Homes i agències gestionats usen legítimament plugins per a memòria cau, encaminament i controls de plataforma, de manera que la ubicació per si sola no és evidència de compromís. El que importa és si cada fitxer té un propietari documentat i propòsit que pot verificar contra hosting o registres d’implementació.
Per què no apareix un mu-plugin maliciós quan exploro la llista plugin?+
Heu d’usar plugins executar-se automàticament en cada petició i no estan llistats o commutats en la pantalla estàndard Plugins, de manera que les eines i els administradors que només comproven que la pantalla els falta per complet. Un petit fitxer carregador en mu-plugins també pot incloure una càrrega útil oculta emmagatzemada en un altre lloc, per la qual cosa el plafó de control no mostra res inusual fins i tot quan el lloc està compromès.
Es segur esborrar tota la carpeta mu-plugins per estar segurs?+
No, això és explícitament un error en la gestió de hosting. Eliminar-ho tot en mu-plugins pot deshabilitar la seguretat crítica de la plataforma, la memòria cau o la funcionalitat d’enrutament i fer la recuperació més difícil en comptes de més fàcil.
Si trec el carregador maliciós, està net el lloc?+
No necessàriament. Un mu-plugins porta del darrere és sovint un pont de persistència que restaura malware en fitxers plugins o theme normals, per la qual cosa eliminar només el carregador sense la configuració del servidor d’auditoria, cron treballs i la base de dades per a una altra persistència d’execució primerenca pot deixar el lloc reinfectat.