Napadený WordPress? Co dělat během prvních 24 hodin

Zjištění, že byl web na WordPressu napaden, je stresující. Návštěvníci mohou být přesměrováváni na spam, ve výsledcích vyhledávání se mohou objevit podivné stránky, prohlížeč může zobrazit varování nebo vám poskytovatel hostingu může účet pozastavit. První den je důležitý, protože ukvapené kroky, jako je nahodilé mazání souborů nebo obnovení staré zálohy přes stávající stav, mohou zničit užitečné informace a ponechat původní vstupní bod otevřený. Tento průvodce nabízí klidný a uspořádaný kontrolní seznam pro prvních 24 hodin.

Co to je?

Kompromitace WordPressu obvykle znamená, že někdo získal možnost měnit soubory, databázi nebo uživatelské účty. Mezi běžné známky patří neznámí administrátoři, nepovědomé pluginy nebo soubory, vložený JavaScript, spamové stránky indexované vyhledávači, přesměrování, která se týkají jen části návštěvníků, odchozí spamové e-maily nebo varování od prohlížeče či vyhledávače. Častými vstupními body jsou zastaralé nebo opuštěné pluginy a šablony, opakovaně používaná nebo slabá hesla, kompromitované přihlašovací údaje k hostingu nebo FTP a nezabezpečená oprávnění souborů. Prvních 24 hodin slouží k potvrzení toho, co se děje, omezení další škody, vedení záznamů a přípravě na řádné vyčištění. Podrobné čištění soubor po souboru následuje jako samostatný krok.

Pro koho to je?

Tento kontrolní seznam je určen pro:

Majitele firem a marketingové týmy, které spravují web na WordPressu bez specializovaného bezpečnostního týmu
Agentury, které podporují web klienta, jenž byl právě nahlášen jako kompromitovaný
Interní IT pracovníky, kteří obdrželi oznámení o pozastavení hostingu nebo varování prohlížeče
Každého, kdo potřebuje před zahájením čištění jasně informovat poskytovatele

Co to pomůže objasnit

Postup podle kontrolního seznamu pomáhá ujasnit:

Zda je web skutečně kompromitován, nebo jde o chybu konfigurace či pluginu
Co se změnilo, kdy a kterých účtů se to může týkat
Kdo vlastní hosting, doménu, DNS a zálohy a kdo může schvalovat změny
Zda mohou být dotčena zákaznická data nebo platební toky, které vyžadují samostatnou pozornost

Co je zahrnuto

Hodina 0–2: zapište, čeho jste si všimli, kdy a kdo; pořiďte snímky obrazovky varování, přesměrování a nepovědomých stránek
Hodina 0–2: zjistěte, kdo spravuje hosting, registrátora domény, DNS, CDN a administraci WordPressu
Hodina 1–4: pořiďte úplnou kopii souborů a databáze v aktuálním stavu a uložte ji odděleně; nepřepisujte starší zálohy
Hodina 1–4: zvažte přepnutí webu do režimu údržby nebo požádejte poskytovatele hostingu o omezení přístupu, pokud jsou návštěvníci poškozováni
Hodina 2–6: z čistého zařízení změňte hesla k hostingu, FTP/SFTP, databázi a administrátorským účtům WordPressu; kde je to možné, zapněte MFA
Hodina 2–6: projděte uživatele WordPressu a odstraňte nebo deaktivujte účty, které nepoznáváte, a poznamenejte si, co jste odstranili
Hodina 4–12: shromážděte dostupné přístupové logy serveru a bezpečnostní oznámení od poskytovatele hostingu
Hodina 6–24: předejte kvalifikovanému poskytovateli své poznámky, logy a kopii zálohy a dohodněte rozsah vyčištění

Co není součástí

Příkazy k odstranění malwaru nebo pokyny k úpravě souborů jádra bez zálohy
Právní poradenství k tomu, zda je nutné oznámit únik dat
Tvrzení, že samotná změna hesel kompromitaci vyřeší
Rady, jak kontaktovat útočníka nebo mu oplatit

Kdy si ji vybrat

Použijte tento kontrolní seznam, jakmile máte podezření na kompromitaci, a to dříve, než začnete mazat soubory nebo obnovovat zálohy. Pokud web zpracovává platby nebo uchovává osobní údaje zákazníků, zapojte včas toho, kdo odpovídá za ochranu soukromí a právní povinnosti; oznamovací povinnosti závisí na skutečnostech a na jurisdikci a tento článek není právním poradenstvím. Pokud poskytovatel hostingu pozastavil účet, zeptejte se, co od vás potřebuje k obnovení přístupu a zda má logy, které můžete využít.

Náš přístup

Upřednostněte omezení dopadu a vedení záznamů před rychlým vizuálním vyčištěním. Web, který opět vypadá normálně, může stále obsahovat zadní vrátka, jimiž se útočník během několika dní vrátí. Obnovení staré zálohy bez uzavření vstupního bodu často vede k opětovné infekci. Po dokončení počátečních kroků by čištění mělo zahrnout soubory, databázi, uživatele, plánované úlohy a konfiguraci serveru a následně uzavření vstupního bodu a zpevnění zabezpečení. Naše služba Incident Recovery zahrnuje úvodní posouzení a klasifikaci dohodnutého problému s webem nebo WordPressem, praktické omezení dopadu, odstranění škodlivého kódu, zadních vrátek a neoprávněných uživatelů, bezpečné obnovení, uzavření zjištěného vstupního bodu a písemnou zprávu s doporučeními ke zpevnění zabezpečení. Jde o práci s vymezeným rozsahem pro potvrzený web, přičemž právní posouzení zajišťuje váš právní poradce. Ať vám pomáhá kdokoli, požádejte jej, aby vysvětlil, co zjistil a co změnil, a uchovejte tuto zprávu spolu se svými poznámkami.

Incident Recovery

Zobrazit stránku služby Incident Recovery