Una tasca programada sospitosa és només mitja incidència. Esborrar una entrada cron és temporal si un plugin, MU plugin, opció o procés extern encara la registra de nou.
Inventaria els hooks programats abans d’esborrar res
Registra nom del hook, pròxima execució, recurrència i propietari del callback. Compara la llista amb plugins instal·lats i tasques conegudes. Un nom desconegut no és prova de malware: importen procedència i comportament.
Separa una tasca maliciosa d’un job legítim orfe
- Segueix el callback fins al fitxer o classe que el registra.
- Comprova quan va aparèixer respecte de l’incident.
- Revisa si escriu fitxers, crea usuaris o crida serveis remots inesperats.
- Mira si el mateix hook es recrea immediatament després d’eliminar-lo.
Conserva el calendari i l’escriptor abans de retirar-los
Fes snapshot de l’esdeveniment i del codi relacionat. Si està causant efectes perjudicials, contén-ne l’execució però mantén prou evidència per identificar qui l’ha creat.
Elimina tant l’esdeveniment com la via que el registra
- Desactiva o elimina l’escriptor maliciós confirmat.
- Desprograma l’esdeveniment amb APIs compatibles amb WordPress.
- Reinstal·la o actualitza components afectats des de fonts fiables.
- Rota credencials si el callback utilitzava accés privilegiat.
Busca persistència complementària
Els callbacks programats sovint treballen amb loaders a mu-plugins o persistència a wp_options. Si alguna d’aquestes vies continua activa, el cron pot tornar.
No desactivis WP-Cron globalment com a “neteja”
Pots aturar backups, publicacions programades, tasques de WooCommerce i manteniment legítim sense eliminar el codi que registra l’esdeveniment.
Verificació durant diversos cicles
El hook maliciós ha de continuar absent després de peticions i execucions programades normals, els jobs legítims han de funcionar i no han de reaparèixer fitxers, opcions o usuaris associats amb el callback antic.
CRITERI D’INCIDENT WP REPAIR
Seqüència d’intervenció segura
Elimina l’esdeveniment podeu aturar un cicle, però el carregador que el torni a registrar pot recrear la tasca en la següent petició.
- Exporta tots els esdeveniments amb ganxos, recurrència, execució i arguments següents.
- Carrega cada ganxo desconegut a la trucada de retorn PHP que el registra o maneja.
- Compara els temps de creació i execució d’esdeveniments amb canvis de fitxer o reinfecció.
- Inspecciona m- plugins, plugins actiu, temes i opcions de base de dades per al codi de registre.
Què ha de quedar verificat
- S'eliminen els ganxos sospitosos i el codi de registre.
- Cap fitxer, usuari o opció es recrea després dels cicles cron.
- Els treballs programats legítims continuen funcionant una vegada.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Si borro la sospitosa tasca programada, és suficient per aturar-la?+
No necessàriament. Eliminar l’esdeveniment pot aturar un cicle d’execució, però si un carregador ocult encara està present i registir la tasca, pot simplement recrear la mateixa o una entrada similar cron en la següent sol·licitud.
És segur activar manualment un ganxo cron desconegut per veure el que fa?+
No. Els ganxos desconeguts no s'han d’executar en la producció només per observar el comportament, ja que poden enviar correu, reescriure fitxers o contactar amb infraestructura controlada per atacants en el moment en què s'executen.
Pot romandre una entrada cron maliciosa fins i tot després que s’hagi eliminat la plugin que la va crear?+
Sí. Això s'anomena residu de només base de dades: l’esdeveniment programat pot persistir en la matriu cron fins i tot després que s'hagi eliminat el codi de registre original, raó per la qual l’array cron en si mateix necessita ser comprovat, no només la llista de plugins actiu.
Què significa si una tasca cron està configurada per executar-se cada minut o amb freqüència inusual?+
Una freqüència d’execució molt alta és un patró comú per a les tasques utilitzades per a preservar l’accés no autoritzat o enviar spam contínuament, ja que l’execució freqüent manté actualitzat el punt de suport de l’atacant. Comparar els valors de recurrència i de propera execució en tots els esdeveniments ajuda a descobrir aquest tipus d’abús ràpidament.