At fjerne synlige spamsider eller en enkelt ondsindet fil afslutter sjældent en kompromittering af WordPress. Angribere efterlader ofte flere fodfæster: en skjult administrator, et ændret plugin, en planlagt opgave, der genskaber filer, eller en databasepost, der indsprøjter kode på hver side. En struktureret oprydning af WordPress-malware gennemgår hvert lag i rækkefølge og lukker derefter det oprindelige indgangspunkt og hærder sitet. Denne tjekliste forklarer, hvad en grundig oprydning omfatter, så I kan planlægge arbejdet, orientere en udbyder eller kontrollere, hvad der er gjort.
Hvad det er
Oprydning af malware er processen med at identificere og fjerne ondsindet kode, uautoriseret adgang og persistensmekanismer fra en WordPress-installation og dens hostingmiljø og derefter genoprette normal, pålidelig drift. Den berører fire områder: filsystemet (kerne, temaer, plugins, uploads og konfigurationsfiler), databasen (options, indlæg, brugere og eventuelle brugerdefinerede tabeller), hostingkontoen (FTP/SFTP-brugere, cron-jobs, andre sites på samme konto) og eksterne tjenester (DNS, CDN, e-mail og søgemaskineoptagelser). Arbejdet er først færdigt, når indgangen er identificeret, så langt de tilgængelige beviser tillader, og lukket; ellers er ny infektion sandsynlig.
Hvem er det for?
Denne tjekliste er nyttig for:
- Siteejere, der har brug for at forstå, hvad en ordentlig oprydning indebærer, før de bestiller en
- Bureauer, der vedligeholder kundesites og ønsker en ensartet standard for oprydning
- Teams, hvis site tidligere er blevet „renset“, men blev inficeret igen
- Ledere, der skal kontrollere, at en udbyders rapport dækker alle relevante lag
Hvad det hjælper med at afklare
Når I gennemgår tjeklisten, hjælper det med at afklare:
- Hvilke dele af installationen der kan erstattes med kendte, rene kopier, og hvilke der kræver manuel gennemgang
- Om persistensmekanismer som skjulte brugere eller planlagte opgaver er blevet fjernet
- Hvad det sandsynlige indgangspunkt var, og om det er blevet lukket
- Hvilke hærdningstrin der bør følge for at mindske risikoen for en gentagelse
Hvad er inkluderet
- Forberedelse: tag en fuld backup af den nuværende tilstand, lad tidligere backups være urørte, og notér dato og klokkeslæt
- Kernefiler: erstat WordPress-kernen med en frisk kopi af samme version fra den officielle kilde, og opdatér derefter til den aktuelle version, når sitet er stabilt
- Plugins og temaer: geninstallér fra betroede kilder; fjern alt, der er ubrugt, forladt eller hentet fra uofficielle kilder
- Uploads-mappen: kig efter eksekverbare filer, hvor der kun bør være mediefiler
- Konfiguration: gennemgå wp-config.php og serverkonfigurationsfiler som .htaccess for indsprøjtede regler eller omdirigeringer
- Database: søg i options, indlæg og widgets efter indsprøjtede scripts eller ukendte URL’er
- Brugere: gennemgå alle administratorer og redaktører; fjern ukendte konti, og nulstil de resterende adgangskoder
- Planlagte opgaver: kontrollér WordPress-cron-hændelser og cron-jobs hos hostingudbyderen for noget ukendt
- Loginoplysninger: udskift nøgler til hosting, database, SFTP og API, og generér WordPress’ sikkerhedssalte på ny
- Indgangspunkt: opdatér eller fjern den sårbare komponent, ret svag adgang, og korrigér filrettigheder
- Verifikation: scan igen, kontrollér sider både som indlogget og anonym besøgende, og anmod om gennemgang af eventuelle advarsler fra søgemaskiner eller browsere
- Hærdning: aktivér MFA for administratorer, begræns administratoradgang, planlæg opdateringer, og opsæt overvågning af filændringer
Hvad er ikke inkluderet?
- Instruktioner på kommandoniveau til fjernelse af malware for ikke-uddannet personale, der arbejder på et live site
- En påstand om, at en scanning uden resultater betyder, at sitet er rent
- Juridiske vurderinger af anmeldelse af brud eller ansvar
- Løbende overvågning efter oprydningen, medmindre det aftales særskilt
Hvornår du skal vælge det
Brug denne tjekliste efter de indledende inddæmningstrin, når I har en backup af den nuværende tilstand og kontrol over de vigtigste konti. Den er også nyttig som en godkendelsestjekliste, når en udbyder melder, at en oprydning er færdig: spørg, hvilke punkter der blev dækket, og hvad der blev fundet. Hvis kunders personoplysninger, betalingsdata eller logins kan være blevet eksponeret, så inddrag den, der har ansvaret for databeskyttelse og juridiske forpligtelser. Denne artikel er generel information og ikke juridisk rådgivning.
Vores tilgang
Arbejd udefra og ind og fra det kendte og rene mod det ukendte. Erstat det, der kan erstattes, med rene kopier, og brug derefter gennemgangstiden på det, der er unikt for jeres site: brugerdefinerede temaer, uploads og databaseindhold. Registrér hver ændring, fordi registreringen hjælper med at forklare hændelsen over for interessenter og understøtter senere beslutninger. Genforbind ikke sitet til normal trafik, før verifikationen er gennemført, og planlæg hærdning som en del af opgaven i stedet for som en eftertanke. Vores tjeneste Incident Recovery omfatter inddæmning, oprydning af ondsindet kode, bagdøre og uautoriserede brugere, sikker gendannelse og lukning af det identificerede indgangspunkt med en skriftlig rapport og anbefalinger til hærdning. Når det umiddelbare problem er løst, kan et særskilt afgrænset forløb med hærdning af websitet tage sig af bredere konfiguration, opdateringsdisciplin og adgangskontrol. Opbevar oprydningsrapporten sammen med jeres sitedokumentation; den vil være nyttig, hvis noget lignende dukker op igen.
Ofte stillede spørgsmål
Relaterede artikler
Start
Har I brug for en oprydning, der dækker alle lag?
Fortæl os, hvad I har observeret, hvad der er ændret indtil videre, og hvem der kontrollerer hosting og domæne. Vi bekræfter et skriftligt omfang for oprydningen.
Anmod om et skriftligt omfang