Japanske søkeresultater i Google

Hvis Google viser sider med japansk tekst under domenet ditt, er siden hacket. På engelsk kalles angrepet «Japanese keyword hack». Angriperen legger inn kode som genererer tusenvis av sider med japansk tekst og lenker til nettbutikker med kopivarer. Sidene kan ligge i mapper med tilfeldige navn.

Angriperen kan også ha lagt seg til som eier av nettsiden i Google Search Console og sendt inn egne sitemaps, så Google finner spamsidene raskere. Google beskriver angrepet og oppryddingen i en egen veiledning på engelsk.

Se hvor mye Google har funnet

1. Søk på site:dittdomene.no i Google og bla gjennom noen sider med treff. Noter noen av de japanske adressene.
2. Åpne en av dem. En 404-side betyr ikke at siden er borte. Koden kan sjekke hvem som spør, og vise Googlebot spamsiden mens du får en feilside (cloaking). Lim adressen inn i søkefeltet øverst i Search Console og kjør en live-test. Da ser du siden slik Googlebot får den.
3. Åpne rapporten Sikkerhetsproblemer i Search Console og se om Google har funnet noe.
4. Skann siden med Sucuri SiteCheck. Skanneren ser bare det som vises utenfra, men viser om siden er svartelistet og om den inneholder kjent spam.

Fjern ukjente eiere i Search Console

1. Gå til innstillingene i Search Console og åpne siden for brukere og tillatelser. Fjern eiere du ikke kjenner.
2. Slett også bekreftelsen deres, ellers kan de bekrefte eierskapet på nytt. Se etter en HTML-fil i rotmappen med et navn som begynner med google, eller en regel i .htaccess som sender slike adresser til et skript:

RewriteEngine On
RewriteRule ^google(.*)\.html$ dir/file.php?google=$1 [L]

3. Åpne https://dittdomene.no/google1234.html i nettleseren. Regelen er borte når du får en 404-side.
4. Se gjennom hvilke sitemaps som er sendt inn i Search Console, og fjern dem du ikke kjenner igjen.

Rydd i filene

1. Ta en kopi av filene og databasen før du sletter noe.
2. Koble til med FTP eller filbehandleren i hostingpanelet, og slå på visning av skjulte filer. Finn alle .htaccess-filene. Filen i rotmappen skal bare inneholde blokken fra WordPress mellom # BEGIN WordPress og # END WordPress, blokker fra aktive utvidelser og eventuelle regler hostingleverandøren har lagt inn, for eksempel for PHP-versjonen. Regler du eller utvikleren har lagt inn selv, for eksempel omdirigering til https, beholder du også. Fjern resten.
3. Åpne sitemap-filer du ikke kjenner igjen, og slett dem som bare inneholder spamadresser. Sitemapet WordPress lager selv, ligger ikke som en fil.
4. Før du installerer noe på nytt, sorterer du filene etter endringsdato og størrelse og ser nærmere på filer som ble endret omtrent da angrepet startet. Se særlig på index.php, wp-load.php og 404.php. Se etter eval, base64_decode, gzinflate og str_rot13 sammen med lange rekker av tilfeldige tegn.
5. Installer WordPress, utvidelsene og temaene på nytt fra rene kopier.
6. Sjekk med WPScan om noen av utvidelsene eller temaet har kjente sikkerhetshull, og oppdater dem.

Til slutt limer du de japanske adressene inn i søkefeltet øverst i Search Console og kjører en live-test. Gir de 404, er sidene borte fra serveren.

Få spamsidene ut av Google

Google fjerner sidene fra søkeresultatene etter hvert som de gir 404 ved neste besøk, men det kan ta tid. For å få dem bort raskere kan du be om midlertidig fjerning med fjerningsverktøyet i Search Console. Hvis sidene ligger i én mappe, kan du fjerne alle adresser som begynner med mappenavnet. Fjerningen varer i omtrent seks måneder, så sidene må være slettet fra serveren før den går ut.

Hvis det står noe i rapporten Sikkerhetsproblemer, ber du om en ny gjennomgang i rapporten når siden er ren. Beskriv hva du fant og hva du gjorde.

Hvis sidene kommer tilbake

Dukker det opp nye japanske sider etter oppryddingen, ligger det en bakdør igjen, og sikkerhetshullet angriperen brukte, er ikke tettet. Da holder det ikke å slette sidene en gang til. En utvikler med erfaring fra WordPress-sikkerhet må gå gjennom alle filene, databasen og serverloggene for å finne bakdøren og sikkerhetshullet. Har du ikke tilgang til Search Console selv, må en av de verifiserte eierne fjerne de ukjente eierne.