Tegn på at WordPress-siden er hacket

En hacket WordPress-side kan se helt normal ut for eieren. Mye skadelig kode er laget slik at den bare slår til for besøkende fra Google, på mobil eller for søkemotorer, og ikke når en administrator er logget inn. Derfor oppdager mange angrepet først når Google varsler, en kunde klager eller hostingleverandøren stenger siden.

Tegn på at siden er hacket

• Besøkende fra Google eller på mobil blir sendt videre til en annen nettside, mens alt ser normalt ut når du skriver inn adressen selv.
• Et søk på site:dittdomene.no i Google viser sider du aldri har laget, for eksempel på japansk eller med reklame for piller og kasino.
• Google viser «Deceptive site ahead» eller et annet varsel, eller det står noe i rapporten Sikkerhetsproblemer i Search Console.
• Under Brukere ligger det administratorer du ikke kjenner igjen.
• Det ligger PHP-filer i wp-content/uploads, der det bare skal være bilder og dokumenter.
• Det ligger filer i wp-content/mu-plugins som du ikke kjenner, eller utvidelser i listen som du ikke har installert.
• Hostingleverandøren har stengt siden, eller e-postleverandøren melder at domenet sender spam.
• Sucuri SiteCheck finner skadevare på siden eller viser at domenet står på en svarteliste.

Ett av disse tegnene er nok til at du bør sjekke siden nærmere. Har du SSH og WP-CLI, kan du sammenligne kjernefilene og utvidelsene fra wordpress.org med de offisielle sjekksummene. wp core verify-checksums og wp plugin verify-checksums --all lister filene som ikke stemmer med originalen.

Gjør dette først

1. Ta en kopi før du rydder. Last ned filene, eksporter databasen og ta vare på tilgangsloggene. Mange hostingleverandører sletter tilgangsloggene etter kort tid. Uten kopien finner du ikke ut hvordan angriperen kom inn.
2. Bytt alle passord. Det gjelder WordPress-brukerne med administratortilgang, hostingpanelet, FTP, SFTP og databasen. Skriv samtidig det nye databasepassordet inn som DB_PASSWORD i wp-config.php, ellers mister siden kontakten med databasen.
3. Logg ut alle. Bytt sikkerhetsnøklene (salts) i wp-config.php, så blir alle innloggede økter ugyldige, også angriperens. Nye nøkler henter du fra https://api.wordpress.org/secret-key/1.1/salt/.
4. Skriv ned brukernavn og e-postadresse til ukjente administratorer, og fjern tilgangen deres som beskrevet i artikkelen om ukjente administratorer. Slett dem når alt er oppdatert.
5. Oppdater alt som er utdatert: WordPress, utvidelser og temaer. Slett utvidelser og temaer du ikke bruker.

Hvorfor det ikke holder å slette filene

En skanner finner bare skadevare den allerede kjenner til. Men en angriper som har kommet inn, kan ha lagt igjen flere bakdører: en ekstra administrator, kode i databasen eller en fil med et navn som ligner på en WordPress-fil. Hvis du bare sletter det skanneren fant, kan angriperen komme tilbake gjennom en av de andre bakdørene.

En grundig opprydding betyr å installere WordPress-kjernen, utvidelsene og temaene på nytt fra rene kopier. Deretter går du gjennom databasen og opplastingsmappen og finner sikkerhetshullet angriperen brukte. Det kan være en utdatert utvidelse eller et passord som har lekket. Har du en sikkerhetskopi fra før angrepet, kan det gå raskere å gjenopprette den og tette sikkerhetshullet etterpå.

Når Google har merket siden

Når siden er ren, ber du om en ny gjennomgang i rapporten Sikkerhetsproblemer i Search Console og beskriver hva du har gjort. Google sjekker siden på nytt, og varselet forsvinner når Google ikke finner flere problemer.

Hvis det skjer igjen

Hvis angrepet kommer tilbake etter oppryddingen, er sikkerhetshullet fortsatt åpent. Da må noen finne ut hvordan angriperen kom inn, ved å gå gjennom filene, databasen og serverloggene. Til det trenger du tilgang til hostingkontoen og en utvikler med erfaring fra WordPress-sikkerhet.