WordPress hacket? Det skal I gøre de første 24 timer

Hvad det er

En kompromittering af WordPress betyder som regel, at nogen har fået mulighed for at ændre filer, databasen eller brugerkonti. Almindelige tegn er ukendte administratorbrugere, ukendte plugins eller filer, indsprøjtet JavaScript, spamsider indekseret af søgemaskiner, omdirigeringer, der kun rammer nogle besøgende, udgående spam-e-mail eller advarsler fra en browser eller søgemaskine. Hyppige indgangspunkter er forældede eller forladte plugins og temaer, genbrugte eller svage adgangskoder, kompromitterede loginoplysninger til hosting eller FTP og usikre filrettigheder. De første 24 timer handler om at bekræfte, hvad der sker, begrænse yderligere skade, føre en registrering og forberede en ordentlig oprydning. Den detaljerede oprydning fil for fil følger som et selvstændigt trin.

Hvem er det for?

Denne tjekliste er til:

• Virksomhedsejere og marketingteams, der administrerer et WordPress-site uden et dedikeret sikkerhedsteam
• Bureauer, der understøtter et kundesite, som netop er blevet meldt kompromitteret
• Interne IT-medarbejdere, der har modtaget en meddelelse om suspendering fra hostingudbyderen eller en browseradvarsel
• Alle, der skal orientere en udbyder klart, før oprydningsarbejdet begynder

Hvad det hjælper med at afklare

Når I følger tjeklisten, hjælper det med at afklare:

• Om sitet faktisk er kompromitteret eller viser en konfigurations- eller pluginfejl
• Hvad der er ændret, hvornår, og hvilke konti der kan være involveret
• Hvem der ejer hosting, domæne, DNS og backups, og hvem der kan godkende ændringer
• Om kundedata eller betalingsflows kan være berørt og kræver særskilt opmærksomhed

Hvad er inkluderet

• Time 0–2: skriv ned, hvad der blev bemærket, hvornår og af hvem; tag skærmbilleder af advarsler, omdirigeringer og ukendte sider
• Time 0–2: identificér, hvem der kontrollerer hosting, domæneregistrator, DNS, CDN og WordPress-administrationen
• Time 1–4: tag en fuld kopi af filer og database, som de er nu, og opbevar den separat; overskriv ikke ældre backups
• Time 1–4: overvej at sætte sitet i vedligeholdelsestilstand eller bede jeres hostingudbyder om at begrænse adgangen, hvis besøgende tager skade
• Time 2–6: skift fra en ren enhed adgangskoder til hosting, FTP/SFTP, database og WordPress-administratorer; aktivér MFA, hvor det er muligt
• Time 2–6: gennemgå WordPress-brugere, og fjern eller deaktivér konti, I ikke genkender, og notér, hvad I fjernede
• Time 4–12: indsaml tilgængelige adgangslogs fra serveren og sikkerhedsmeddelelser fra hostingudbyderen
• Time 6–24: orientér en kvalificeret udbyder med jeres noter, logs og backupkopi, og aftal et omfang for oprydningen

Hvad er ikke inkluderet?

• Kommandoer til fjernelse af malware eller instruktioner i at redigere kernefiler uden en backup
• Juridisk rådgivning om, hvorvidt der kræves en anmeldelse af brud på datasikkerheden
• En påstand om, at skift af adgangskoder alene løser kompromitteringen
• Råd om at kontakte angriberen eller gøre gengæld

Hvornår du skal vælge det

Brug denne tjekliste, så snart I har mistanke om en kompromittering, før I begynder at slette filer eller gendanne backups. Hvis sitet behandler betalinger eller opbevarer kunders personoplysninger, så inddrag tidligt den, der er ansvarlig for databeskyttelse og juridiske forpligtelser; underretningspligter afhænger af omstændighederne og jurisdiktionen, og denne artikel er ikke juridisk rådgivning. Hvis hostingudbyderen har suspenderet kontoen, så spørg, hvad de har brug for fra jer for at genoprette adgangen, og om de har logs, I kan bruge.

Vores tilgang

Prioritér inddæmning og registrering frem for en hurtig visuel oprydning. Et site, der ser normalt ud igen, kan stadig indeholde en bagdør, som lader angriberen vende tilbage inden for få dage. At gendanne en gammel backup uden at lukke indgangspunktet fører ofte til ny infektion. Når de indledende trin er gennemført, bør oprydningen omfatte filer, database, brugere, planlagte opgaver og serverkonfigurationen, efterfulgt af lukning af indgangspunktet og hærdning. Vores tjeneste Incident Recovery omfatter en indledende gennemgang og klassificering af et aftalt problem med et website eller WordPress, praktisk inddæmning, oprydning af ondsindet kode, bagdøre og uautoriserede brugere, sikker gendannelse, lukning af det identificerede indgangspunkt og en skriftlig rapport med anbefalinger til hærdning. Det er afgrænset arbejde for det bekræftede website, og juridiske vurderinger håndteres af jeres juridiske rådgiver. Uanset hvem der hjælper jer, så bed dem om at forklare, hvad de fandt og ændrede, og opbevar den rapport sammen med jeres noter.

Incident Recovery

Ofte stillede spørgsmål

Relaterede artikler