En ukjent administrator har dukket opp

En administrator du ikke har opprettet selv, er et av de tydeligste tegnene på innbrudd. Med en ekstra administrator kan angriperen komme tilbake senere, også etter at sikkerhetshullet er tettet.

Gjør det i denne rekkefølgen: skriv ned opplysningene om brukeren, steng brukeren ute, bytt passordene og slett brukeren. Opplysningene kan vise hvordan angriperen kom inn, og de forsvinner når kontoen slettes. Etterpå finner og tetter du sikkerhetshullet, ellers kan angriperen komme tilbake.

Sjekk om noen du kjenner, har opprettet brukeren

Se først på e-postadressen til brukeren under Brukere → Alle brukere, for den kan fortelle hvem det er. Et domene som tilhører en tidligere utvikler, hostingleverandøren eller en utvidelse du bruker, tyder på en supportkonto noen har laget med vilje. En tilfeldig adresse hos Gmail eller Outlook, en midlertidig e-postadresse eller et domene du ikke kjenner, tyder derimot på et innbrudd. Søk også etter adressen og domenet på nettet.

Spør deretter dem som har jobbet med siden: tidligere utviklere, hostingleverandøren og andre med administratortilgang. Hvis ingen kjenner kontoen igjen, må du gå ut fra at noen har brutt seg inn.

Skriv ned opplysningene om brukeren

1. Gå til Brukere → Alle brukere og skriv ned brukernavnet, navnet og e-postadressen, eller ta et skjermbilde.
2. Se i kolonnen Innlegg om brukeren har publisert noe. Tallet er en lenke til innleggene.
3. Klikk på Administrator øverst i listen. Hvis tallet i parentes er større enn antallet brukere du ser, kan en administrator være skjult.
4. Åpne profilen til hver administrator, også din egen, og se under Applikasjonspassord. Et applikasjonspassord du ikke kjenner, lar noen logge inn uten det vanlige passordet.
5. Hvis siden har en utvidelse som logger aktivitet, kan den vise når brukeren ble opprettet og fra hvilken IP-adresse. Skriv ned det også.

Skadelig kode kan skjule brukere fra listen i wp-admin. Spørringen under henter alle administratorer rett fra databasen, med tidspunktet kontoen ble opprettet (user_registered, i UTC). Kjør den i phpMyAdmin. Bruker siden et annet prefiks enn wp_, bytter du det ut både i tabellnavnene og i wp_capabilities.

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
JOIN wp_usermeta m ON m.user_id = u.ID
WHERE m.meta_key = 'wp_capabilities' AND m.meta_value LIKE '%administrator%';

Steng brukeren ute

WordPress har ingen knapp for å deaktivere en bruker, men du kan fjerne all tilgang uten å slette kontoen:

1. Gå til Brukere → Alle brukere og åpne brukeren.
2. Velg «Ingen rolle på dette nettstedet» under Rolle. Da har brukeren ingen rettigheter, selv om angriperen skulle klare å logge inn.
3. Trykk «Angi nytt passord», så lager WordPress et sterkt passord som ingen kjenner.
4. Trykk «Oppdater bruker».
5. Hvis brukeren er logget inn, trykker du «Logg ut overalt» under Økter. Har brukeren applikasjonspassord, trykker du «Tilbakekall» ved hvert av dem.

Be hostingleverandøren ta vare på loggene

Tilgangsloggene fra dagene før brukeren dukket opp, kan vise hvordan angriperen kom inn. Mange hostingleverandører sletter loggene etter noen dager eller uker. Be derfor hostingleverandøren ta vare på dem med en gang, eller last dem ned fra hostingpanelet.

Bytt passordene

1. Bytt passordet til alle de andre administratorene. Har siden en utvidelse for totrinnsbekreftelse, slår du på totrinnsbekreftelse for alle.
2. Bytt passordene til hostingpanelet, FTP og databasen. Det nye databasepassordet må samtidig inn som DB_PASSWORD i wp-config.php, ellers mister siden kontakten med databasen.
3. Bytt sikkerhetsnøklene (salts) i wp-config.php, så må alle logge inn på nytt. Nye nøkler får du på https://api.wordpress.org/secret-key/1.1/salt/, eller du kjører wp config shuffle-salts i WP-CLI.

Hvis du ikke er vant til å redigere wp-config.php, ber du hostingleverandøren eller den som drifter siden, om å gjøre punkt 2 og 3.

Slett brukeren

Når passordene er byttet, sletter du brukeren under Brukere → Alle brukere. Vil du beholde innholdet og gå gjennom det etterpå, velger du «Tilordne alt innholdet til en annen bruker.» og en bruker i listen.

Tett sikkerhetshullet

Når brukeren er stengt ute eller slettet, må du finne ut hvordan angriperen kom inn. Det kan være en utvidelse eller et tema med et kjent sikkerhetshull, eller et passord som har lekket.

1. Skann siden på wpscan.com. Du limer inn adressen og får en gratis rapport over utvidelser, temaer og WordPress-versjoner med kjente sikkerhetshull. Skanneren ser bare det som er synlig utenfra. Alternativt kan du installere Jetpack Protect eller Wordfence, som har tilgang til alt du har installert og kan gi deg en grundigere gjennomgang.
2. Oppdater alle utvidelser og temaer. Slett dem du ikke bruker, og bytt ut dem som ikke lenger får oppdateringer.
3. Oppdater WordPress til siste versjon.
4. Oppdater PHP til en versjon som fortsatt får sikkerhetsoppdateringer. Slik bytter du PHP-versjon.
5. Gå til Innstillinger → Generelt. Sjekk at «Alle kan registrere seg» ikke er krysset av, og at «Standardrolle for ny bruker» ikke står på Administrator.
6. Skann siden for skadevare, for eksempel med Wordfence. Wordfence kan finne bakdører angriperen har lagt igjen.

Når du ikke vet hvordan angriperen kom inn

Hvis skanningene ikke finner noe og du ikke vet hvordan brukeren kom inn, må du regne med at sikkerhetshullet fortsatt er åpent. Angriperen kan også ha lagt igjen bakdører i filene eller databasen. Da må en utvikler med erfaring innen WordPress-sikkerhet gå gjennom filene, databasen og serverloggene. Det krever full tilgang til hostingkontoen.