La rete cade, ma i CMS compromessi restano esposti
Il taglio dell’infrastruttura non chiude il caso: la parte che continua a fare danno sono i siti WordPress, Joomla e Drupal già compromessi, perché credenziali rubate e patch mancanti possono riaprire la stessa porta anche senza i server del botnet. Qui la risposta standard — contare i server sequestrati — perde il punto: la bonifica vera è sugli account e sugli ambienti CMS rimasti in mano all’avversario.
Le autorità hanno sequestrato 106 server e domini legati a SocGholish e hanno ripulito circa 15.000 siti CMS infetti, avvisando i proprietari di cambiare credenziali e rimettere in ordine i sistemi. SocGholish, usato anche come vettore per Evil Corp, si appoggia a siti legittimi già compromessi; le pagine infette mostrano finte richieste di aggiornamento del browser e arrivano spesso da login rubati o vulnerabilità note.
Per chi gestisce siti web, il rischio non finisce con il takedown: se CMS, account e accessi nascosti non vengono bonificati, la stessa infrastruttura può essere ricostruita altrove e tornare a servire malware.