Å fjerne synlige spamsider eller én enkelt ondsinnet fil avslutter sjelden en kompromittering av WordPress. Angripere etterlater ofte flere fotfester: en skjult administrator, en endret utvidelse, en planlagt oppgave som gjenskaper filer, eller en databaseoppføring som injiserer kode på hver side. En strukturert fjerning av skadevare i WordPress går gjennom hvert lag i rekkefølge, lukker deretter det opprinnelige inngangspunktet og herder nettstedet. Denne sjekklisten forklarer hva en grundig opprydding omfatter, slik at dere kan planlegge arbeidet, orientere en leverandør eller kontrollere hva som er gjort.
Hva det er
Fjerning av skadevare er prosessen med å identifisere og fjerne ondsinnet kode, uautorisert tilgang og mekanismer for vedvarende tilstedeværelse fra en WordPress-installasjon og driftsmiljøet, og deretter gjenopprette normal og pålitelig drift. Den berører fire områder: filsystemet (kjerne, temaer, utvidelser, opplastinger og konfigurasjonsfiler), databasen (innstillinger, innlegg, brukere og eventuelle egendefinerte tabeller), driftskontoen (FTP/SFTP-brukere, cron-jobber, andre nettsteder på samme konto) og eksterne tjenester (DNS, CDN, e-post og oppføringer i søkemotorer). Arbeidet er først fullført når inngangen er identifisert så langt tilgjengelige bevis tillater og er lukket; ellers er ny infeksjon sannsynlig.
Hvem det er for
Denne sjekklisten er nyttig for:
- Nettstedseiere som må forstå hva en ordentlig opprydding innebærer før de bestiller en
- Byråer som vedlikeholder kundenettsteder og ønsker en enhetlig standard for opprydding
- Team der nettstedet ble «ryddet» tidligere, men ble infisert igjen
- Ledere som må kontrollere at rapporten fra en leverandør dekker alle relevante lag
Hva det hjelper med å klarlegge
Å gå gjennom sjekklisten bidrar til å avklare:
- Hvilke deler av installasjonen som kan erstattes med kjente, rene kopier, og hvilke som krever manuell gjennomgang
- Om mekanismer for vedvarende tilstedeværelse, som skjulte brukere eller planlagte oppgaver, er fjernet
- Hva det sannsynlige inngangspunktet var, og om det er lukket
- Hvilke herdingstiltak som bør følge for å redusere sjansen for gjentakelse
Hva er inkludert
- Forberedelse: ta en full sikkerhetskopi av nåværende tilstand, la tidligere sikkerhetskopier være urørt, og noter dato og klokkeslett
- Kjernefiler: erstatt WordPress-kjernen med en ny kopi av samme versjon fra den offisielle kilden, og oppdater til gjeldende versjon når nettstedet er stabilt
- Utvidelser og temaer: installer på nytt fra pålitelige kilder; fjern alt som er ubrukt, forlatt eller hentet fra uoffisielle kilder
- Opplastingsmappe: se etter kjørbare filer der bare medier skal ligge
- Konfigurasjon: gjennomgå wp-config.php og serverkonfigurasjonsfiler som .htaccess for injiserte regler eller videresendinger
- Database: søk i innstillinger, innlegg og widgeter etter injiserte skript eller ukjente URL-er
- Brukere: gjennomgå alle administratorer og redaktører; fjern ukjente kontoer og tilbakestill passordene til de gjenværende
- Planlagte oppgaver: kontroller WordPress-cron-hendelser og cron-jobber hos driftsleverandøren for noe ukjent
- Innloggingsdetaljer: roter nøkler for drift, database, SFTP og API, og generer WordPress-sikkerhetssalter på nytt
- Inngangspunkt: oppdater eller fjern den sårbare komponenten, rett svak tilgang og korriger filtillatelser
- Verifisering: skann på nytt, kontroller sider både som innlogget og anonym besøkende, og be om ny vurdering av eventuelle advarsler fra søkemotorer eller nettlesere
- Herding: aktiver MFA for administratorer, begrens administratortilgang, planlegg oppdateringer og sett opp overvåking av filendringer
Hva er ikke inkludert
- Instruksjoner på kommandonivå for fjerning av skadevare for personale uten opplæring som arbeider på et nettsted i drift
- En påstand om at en skanning uten treff betyr at nettstedet er rent
- Juridiske vurderinger om varsling av brudd eller ansvar
- Løpende overvåking etter oppryddingen, med mindre det er avtalt separat
Når skal den velges
Bruk denne sjekklisten etter de første stegene for inndemming, når dere har en sikkerhetskopi av nåværende tilstand og kontroll over de viktigste kontoene. Den er også nyttig som en sjekkliste for godkjenning når en leverandør melder at en opprydding er ferdig: spør hvilke punkter som ble dekket, og hva som ble funnet. Hvis kunders personopplysninger, betalingsdata eller innlogginger kan ha blitt eksponert, involver den som har ansvaret for personvern og juridiske forpliktelser. Denne artikkelen er generell informasjon og ikke juridisk rådgivning.
Vår tilnærming
Arbeid utenfra og inn, og fra det kjente og rene mot det ukjente. Erstatt det som kan erstattes med rene kopier, og bruk deretter tid på å gjennomgå det som er unikt for nettstedet: egendefinerte temaer, opplastinger og databaseinnhold. Dokumenter hver endring, fordi oversikten hjelper med å forklare hendelsen for interessenter og støtter senere beslutninger. Ikke koble nettstedet til normal trafikk igjen før verifiseringen er fullført, og planlegg herding som en del av jobben i stedet for som en ettertanke. Tjenesten vår Incident Recovery dekker inndemming, opprydding av ondsinnet kode, bakdører og uautoriserte brukere, sikker gjenoppretting og lukking av det identifiserte inngangspunktet, med en skriftlig rapport og anbefalinger for herding. Når det umiddelbare problemet er løst, kan et separat avgrenset oppdrag for herding av nettstedet ta for seg bredere konfigurasjon, disiplin rundt oppdateringer og tilgangskontroller. Oppbevar oppryddingsrapporten sammen med dokumentasjonen for nettstedet; den vil være nyttig hvis noe lignende dukker opp igjen.
Ofte stilte spørsmål
Beslektede artikler
Kom i gang
Trenger dere en opprydding som dekker alle lag?
Fortell oss hva dere har observert, hva som er endret så langt, og hvem som kontrollerer drift og domene. Vi bekrefter et skriftlig omfang for oppryddingen.
Be om et skriftlig omfang