Redirect malițios spre pariuri și farmacii, ascuns condiționat

Vizitatorii — mai ales cei care veneau din Google, pe mobil — erau redirecționați spre site-uri de pariuri și farmacii. Accesul direct, de pe desktop, părea normal. De-aia proprietarul nu observase.

Unde stătea codul

Redirect-ul nu era în tema activă, ci într-un mu-plugin fals (wp-content/mu-plugins/) — un folder care se încarcă automat și nu apare în lista obișnuită de plugin-uri. Codul verifica HTTP_REFERER și User-Agent înainte să declanșeze redirect-ul: clasic redirect condiționat, tocmai ca să scape neobservat.

Cum l-am prins

• comparat conținutul servit cu curl -A "Googlebot" vs. un user-agent normal;
• căutat în tot contul: grep -rl "header(\"Location" wp-content/;
• găsit al doilea strat, activat condiționat, în .htaccess.

Cum am rezolvat

Curățat .htaccess-ul, eliminat mu-pluginul fals, identificat pluginul vulnerabil folosit ca punct de intrare, înlocuit și hardening general.

Lecția

Dacă redirect-ul apare doar din Google sau doar pe mobil, verifică întâi mu-plugins/ și .htaccess — acolo se ascund cel mai des redirect-urile condiționate.