Ett intrång syns inte alltid. Många angripare vill att sajten ska se normal ut för dig som äger den, medan den i bakgrunden visar spam för Google, skickar besökare vidare eller används för att skicka skräppost.
WordPress egen dokumentation kallar de här tecknen för Indicators of Compromise, tecken på intrång. Ju bättre du kan beskriva vad du ser, desto lättare blir det att åtgärda. Här är de vanligaste tecknen och vad du gör direkt.
Tecknen att leta efter
1. Användare du inte känner igen
Gå till Användare i adminpanelen och sortera på roll. Finns det administratörer som ingen i företaget har skapat är det ett allvarligt tecken. Angripare lägger ofta till egna konton för att kunna ta sig in igen, även efter att det första intrånget har städats bort.
Säkerhetsföretaget Sucuri påpekar att sådana konton ibland döljs i adminpanelen. Därför kan den som felsöker behöva titta direkt i databasen, i tabellen wp_users. Kontrollera också användare för FTP, databas och webbhotellets kontrollpanel.
2. Spamsidor i Google
Sök i Google på site:dindomän.se (byt mot din egen domän). Det visar sidor som Google har indexerat från din sajt. Leta efter:
- sidor du aldrig har skapat
- rubriker om läkemedel, spel, repliker eller liknande
- text på språk du inte använder, till exempel japanska
Sucuri beskriver en typ av intrång som kan skapa mycket stora mängder spamsidor på en gång. Om sökträffarna inte stämmer med din sajt är det värt att undersöka vidare.
3. Omdirigeringar till andra sajter
Besökare skickas vidare till en annan webbplats, ofta med reklam, falska tävlingar eller bedrägerier. Det kluriga är att omdirigeringen ofta bara sker i vissa fall. Sucuri skriver att många sådana omdirigeringar bara slår till för besökare som kommer från sökresultat.
Testa därför på flera sätt: klicka dig in från Google, prova på mobilen utan wifi, och prova utan att vara inloggad. Att det fungerar när du själv går direkt till adressen betyder inte att allt är som det ska.
4. Varningar från Google
- I sökresultaten kan Google visa meddelandet ”Denna webbplats kan ha blivit hackad” (på engelska This site may be hacked). Enligt Google visas det när en hackare kan ha ändrat sidor eller lagt till nya sidor med spam.
- I webbläsaren kan besökare få en helsidesvarning innan sidan laddas.
- I Google Search Console, Googles gratisverktyg för webbplatsägare, finns rapporten om säkerhetsproblem (Security Issues). Där visar Google om sajten har flaggats och ger exempel på drabbade adresser. Verifierade ägare får oftast ett mejl när något hittas.
Har du inte lagt in sajten i Search Console är det ett bra tillfälle att göra det nu.
5. Varning eller avstängning från webbhotellet
Webbhotellet kan höra av sig om skadlig kod, hög belastning eller utskick av skräppost, och i allvarliga fall stänga av sajten. Ta det på allvar även om sajten ser normal ut för dig. WordPress dokumentation nämner också att intrång kan leda till att serverns IP-adress svartlistas för e-post, vilket kan påverka din vanliga e-post om den ligger på samma server.
6. Ändrade eller nya filer
Filer i WordPress, tillägg eller tema som har ändrats utan att du har uppdaterat något är ett varningstecken. Det gäller också okända PHP-filer i uppladdningsmappen wp-content/uploads, där det normalt bara ska finnas bilder och dokument. Särskilt utsatta filer är .htaccess, index.php och temats header.php, footer.php och functions.php.
Den som har tillgång till WP-CLI, WordPress kommandoradsverktyg, kan jämföra kärnfilerna med de officiella versionerna med kommandot wp core verify-checksums. Det kontrollerar bara WordPress egna filer, inte tillägg och teman.
7. Okända schemalagda uppgifter
WordPress har ett eget system för schemalagda uppgifter, WP-Cron. Angripare kan lägga in uppgifter där som återskapar skadlig kod eller konton efter att du har städat. Sucuri rekommenderar att du går igenom de schemalagda uppgifterna efter sådant du inte känner igen. Fråga också webbhotellet om det finns okända cron-jobb på serverkontot.
Andra tecken
- reklam eller popup-fönster du inte har lagt in
- kunder som får varningar från sitt antivirusprogram
- i en webbutik: kunder som rapporterar bedrägliga kortköp
Vad du gör direkt
Ordningen nedan bygger på WordPress egen guide för hackade sajter.
- Behåll lugnet och dokumentera. Skriv ner vad du ser, när du märkte det och vad som ändrades senast, till exempel ett nytt tillägg. Ta skärmbilder. Det blir underlaget för hela arbetet.
- Ta en backup först. Spara en kopia av både filer och databas innan du ändrar något, även om sajten är infekterad. Den behövs om något går sönder under städningen, och för att kunna analysera vad som hände.
- Kontakta webbhotellet. Intrånget kan ha påverkat mer än din sajt, särskilt på delade servrar. Webbhotellet kan också ha loggar och egna backuper från tiden före intrånget.
- Byt lösenord överallt. Det gäller WordPress-inloggningen, FTP/SFTP, webbhotellets kontrollpanel och databasen, och för alla som har tillgång. Använd långa, unika lösenord från en lösenordshanterare.
- Sök igenom din egen dator. WordPress dokumentation påpekar att intrånget kan ha börjat med skadlig kod på en dator som används för att logga in. Kör en fullständig virussökning.
- Skanna sajten. Det finns säkerhetstillägg och externa skannrar som letar efter kända typer av skadlig kod. Ingen av dem hittar allt, och en ren rapport betyder inte att sajten säkert är ren.
Byt lösenorden en gång till när sajten är städad. Annars kan angriparen ha fått tag i de nya lösenorden medan den skadliga koden fanns kvar.
Därför ska du inte bara radera filer
Det är frestande att radera allt som ser misstänkt ut. Men utan analys riskerar du att:
- ta sönder sajten. Funktioner som ofta används i skadlig kod används också av vanliga tillägg. Sucuri varnar för att man kan förstöra sajten av misstag.
- missa bakdörrar. En bakdörr är dold kod som låter angriparen komma tillbaka. Den ligger ofta i filer med namn som liknar WordPress egna. Tar du bort det synliga men missar bakdörren kommer intrånget tillbaka.
- förstöra spåren. Om du inte vet hur angriparen kom in, till exempel via ett sårbart tillägg, kan samma väg användas igen.
Det är också därför WordPress guide avråder från att installera om via adminpanelen, eftersom det ofta bara skriver över befintliga filer medan intrång ofta lägger till nya.
När sajten är ren behöver du begära en ny granskning i Search Console om Google har varnat. Google skriver att granskningen av sajter som hackats med spam kan ta upp till flera veckor.
När ska du ta hjälp?
Ta hjälp om du hittar okända administratörer, om Google eller webbhotellet har varnat, om det är en webbutik, eller om intrånget kommer tillbaka efter att du har städat. För att förebygga nästa gång, läs Så skyddar du WordPress mot intrång. Om sajten i stället visar en vit sida eller ett kritiskt fel, se WordPress visar en vit sida.
Behöver du hjälp?
Jag hjälper dig att analysera och städa sajten via sanering av hackad WordPress. Priset är från 4 995 kr exkl. moms, och du godkänner omfattning och pris innan arbetet startar. Du har personlig kontakt med mig hela vägen.
Källor
- FAQ My site was hacked – WordPress.org Documentation
- Hardening WordPress – Advanced Administration Handbook
- wp core verify-checksums – WP-CLI Command Reference
- Why is my site labeled as dangerous in Google Search? – Search Console Help
- Rapportera ett problem med Google Sök – Google Sök Hjälp
- How to Fix the WordPress Redirect Hack – Sucuri Blog
- Is My Site Hacked? (13 Signs) – Sucuri Blog
- How to Clean a Hacked WordPress Site – Sucuri
- My Website Is Hosting a Phishing Page – Now What? – Sucuri Blog
