Els canvis d’emergència poden alterar dates, rotar registres, tancar sessions i eliminar la pista que explicaria una reinfecció. Conservar evidències no significa mantenir una web perillosa en línia: consisteix a obtenir còpies protegides abans d’una neteja destructiva.
Recull només allò necessari per delimitar l’incident, recuperar el servei i atendre les obligacions del negoci.
Inicia una cronologia de l’incident
Anota el primer avís, l’última hora coneguda sense problemes, símptomes, URL afectades, qui va informar i totes les mesures de contenció. Utilitza una única zona horària i separa fets observats d’hipòtesis.
Inclou actualitzacions, desplegaments, migracions, nous usuaris i alertes recents del proveïdor. Registra cada canvi de credencial o configuració sense escriure el secret nou.
No copiïs enviaments de clients, dades de pagament ni contrasenyes a la cronologia.
Conserva els registres disponibles
Sol·licita registres d’accés i errors web, PHP, auditoria de WordPress, panell de hosting, SFTP/SSH, correu i tasques programades. Documenta’n l’origen, la zona horària i el període de retenció.
Exporta’ls a un emmagatzematge protegit abans que rotin. Mantén els originals com a només lectura quan el procés ho permeti. Si has de compartir informació, treballa amb una còpia censurada; no modifiquis l’original controlat.
Captura fitxers i configuració
Crea una instantània del sistema de fitxers que inclogui fitxers ocults, regles del servidor, mu-plugins i configuració rellevant situada fora de l’arrel visible de WordPress.
Anota les versions de WordPress i PHP, l’arrel documental, propietaris, permisos i llista de fitxers modificats recentment. Identifica la captura amb data, origen i checksum quan sigui viable.
No desis l’arxiu dins de public_html ni l’enviïs per correu. Una còpia completa pot contenir credencials i codi maliciós executable.
Exporta la base de dades correcta
Fes una exportació abans d’eliminar usuaris, opcions o contingut injectat. Registra el nom de la base, prefix de taules, si és multilloc i el mètode utilitzat.
Tracta-la com informació sensible: pot contenir comptes, comandes, formularis i dades personals. Limita l’accés i la conservació segons els requisits de l’organització. No executis mai una cerca i substitució general sobre l’única còpia disponible.
Registra tots els accessos privilegiats
Inventaria administradors de WordPress, contrasenyes d’aplicació, sessions actives si estan disponibles, usuaris de hosting, claus SSH/SFTP, usuaris MySQL, comptes DNS/CDN i administradors del correu principal.
Conserva identificadors desconeguts i dates de creació o canvi abans de revocar-los. No enganxis hashes de contrasenya ni claus privades a l’informe. Deixa constància de quin accés s’ha rotat, però no del valor nou.
Conserva tasques i activitat sortint
Registra WP-Cron, Action Scheduler, cron del servidor, cua de correu, esdeveniments recents del proveïdor SMTP i connexions sortints anòmales. La persistència pot executar-se sense que ningú visiti una pàgina.
Desa identificadors representatius de treballs i rutes de scripts. No buidis tota la cua abans de distingir spam de missatges legítims de comandes o contactes. Després de la captura, contén qualsevol abús actiu.
Captura DNS, CDN i redireccions
Exporta registres DNS autoritatius, servidors de noms, regles o Workers de Cloudflare, redireccions, usuaris i esdeveniments d’auditoria. Conserva la IP d’origen de manera privada.
Una alteració pot continuar activa a DNS o CDN després de reconstruir WordPress. Desa l’estat anterior i posterior de cada canvi del pla de control, sense publicar captures de comptes ni tokens.
Documenta l’impacte empresarial
Enumera checkouts, comandes, contactes, accessos, descàrregues, correu i redireccions afectats. Defineix l’interval possible i quin sistema serà la font vàlida per reconciliar operacions.
Si podrien estar implicades dades personals o de pagament, activa el procés legal, de privacitat o del proveïdor de pagaments. La neteja tècnica no substitueix aquesta avaluació. No afirmis que s’ha accedit —o no— a dades sense evidències.
Registra qui va recopilar, copiar i consultar cada paquet. Fins i tot sense una investigació forense formal, una cadena senzilla evita confondre originals i còpies de treball.
Prepara l’inventari de recuperació
Llista les fonts fiables del nucli, plugins, temes, desenvolupament propi i còpies conegudes. Anota llicències i responsables sense incloure claus. Decideix què es reconstruirà, quin contingut cal revisar i quins secrets requereixen rotació.
Mantén la instantània infectada separada de la nova arrel documental. Si els registres duren poc o hi ha diversos sistemes implicats, demana la reparació abans de perdre’ls i comparteix només un inventari censurat mitjançant accés gestionat.