`base64_decode`, `eval` o `gzinflate` són senyals d’investigació, no prova automàtica que un PHP sigui maliciós. Hi ha programari legítim amb codi generat o ofuscat. Conserva el fitxer, estableix-ne la procedència i compara’l amb una versió fiable abans d’esborrar.
Registra la identitat del fitxer
Desa ruta, propietari, permisos, data i hash criptogràfic abans de tocar-lo. Així conserves un artefacte estable encara que després es substitueixi.
Estableix la procedència esperada
Identifica quin connector, tema, dependència o deploy hauria de ser propietari d’aquella ruta. Compara la versió exacta amb paquet o repositori fiable. Conserva el hash del fitxer legítim de referència perquè la comparació sigui reproduïble i no depengui només d’una inspecció visual.
Inspecciona transformacions sense executar
Llegeix cadenes codificades com a dades i descodifica-les en un context aïllat; no executis payload desconegut per “veure què fa”. Busca càrrega remota, accés a credencials o escriptures inesperades.
Rastreja com es carrega el fitxer
Un helper sospitós mai inclòs no equival a codi executat a cada request. Segueix includes, hooks i bootstrap per entendre exposició.
Busca artefactes relacionats per evidència
Usa strings distintius, hashes, timestamps o rutes. No esborris qualsevol fitxer que contingui una funció PHP comuna.
Restaura des de font fiable i prova
Si confirmes modificació maliciosa, substitueix el component per una release coneguda i valida funcionalitat i absència dels indicadors concrets.
Comença per la revisió segura de PHP ofuscat i conserva artefactes amb la guia d’evidències.