Hakovan WordPress sajt: Vodič za čišćenje malvera, oporavak i zaštitu

Ako je vaš WordPress sajt hakovan, kontaktirajte svog hosting provajdera, ograničite pristup ukoliko su posetioci ugroženi i sačuvajte kopiju trenutnog stanja pre nego što počnete da menjate fajlove. Oporavak sajta podrazumeva uklanjanje malicioznog sadržaja i zatvaranje bezbednosnog propusta kroz koji je napadač ušao. Pre nego što ponovo pustite sajt u rad, morate proveriti i da li on i dalje normalno obavlja sve funkcije zbog kojih ga vaši klijenti koriste.

Ovaj vodič je namenjen vlasnicima biznisa koji vode sopstveni (self-hosted) WordPress sajt. Objašnjava šta treba uraditi prvo, u kom trenutku postaje neophodna stručna WordPress pomoć i koja pitanja treba postaviti pre nego što problem proglasite rešenim.

Prvo utvrdite šta se zaista dogodilo

Neočekivano preusmeravanje (redirect), administratorski nalog koji niko iz vašeg tima nije kreirao ili upozorenje od hostinga o malicioznoj aktivnosti zahtevaju detaljnu istragu. Sačuvajte pogođene URL adrese, sve postojeće snimke ekrana (screenshots) ili poruke upozorenja, kao i tačno vreme kada ste prvi put primetili problem. Zabeležite i nedavne izmene na plaginima, temama ili dozvolama za pristup. Ovi detalji daju odličnu polaznu tačku osobi koja preuzima popravku sajta.

Stranica koja se ne prikazuje dobro, neuspešno prijavljivanje ili spam komentar sami po sebi ne znače da vam je neko hakovao sajt. Wordfence napominje da neuspela ažuriranja i običan spam mogu delovati alarmantno čak i kada sajt nije kompromitovan. Shvatite simptom ozbiljno, ali proverite uzrok pre nego što bilo šta obrišete.

Kontaktirajte hosting provajdera i zaštitite posetioce

Recite svom hosting provajderu tačno šta ste primetili. Zamolite ih da vam pomognu u izolovanju incidenta, da sačuvaju dostupne serverske logove i provere koji bekapi postoje. Ako sajt preusmerava posetioce na štetne stranice ili deluje da je proces naplate (checkout) kompromitovan, zatražite od hostinga da ograniči javni pristup sajtu dok traje istraga.

Pauzirajte marketinške kampanje koje šalju ljude na pogođene stranice. Obezbedite klijentima alternativni način kontakta ako sajt inače služi za slanje upita ili rezervacije. Ovo su praktične poslovne odluke koje možete doneti odmah, dok tehnička provera još traje.

Zatražite kopiju trenutnih fajlova i baze podataka pre početka čišćenja. Označite je kao kompromitovanu i čuvajte je odvojeno od ispravnih bekapa za oporavak. Wordfence preporučuje čuvanje obe verzije kako biste imali rezervnu opciju ako proces čišćenja ošteti samu instalaciju.

Osigurajte naloge koji kontrolišu sajt

Promena vaše WordPress lozinke je samo deo vraćanja kontrole. Pregledajte pristupe za hosting, SFTP i bazu podataka, kao i sve administratorske naloge. Resetujte pogođene pristupne podatke, poništite aktivne sesije i istražite nepoznate korisnike. WordPress preporučuje resetovanje pristupa u celom okruženju i promenu sigurnosnih ključeva za autentifikaciju (authentication keys) kako bi se poništile sve postojeće sesije prijavljenih korisnika. Prepustite svom developeru izmene u konfiguracionim fajlovima ako njima ne upravljate sami.

Za ovaj posao koristite proveren i čist uređaj. WordPress-ov vodič za bezbednosno ojačavanje sajta (Hardening WordPress) ističe da zaražen računar može obesmisliti inače dobru bezbednost samog sajta. Uključite dvofaktorsku autentifikaciju (2FA) svuda gde je vaši provajderi podržavaju.

Razumite šta vam WordPress skener malvera može reći

Eksterni (remote) skener može pomoći u identifikaciji malicioznog sadržaja koji je vidljiv na javnim stranicama, ali ne može da pregleda sve što se nalazi na serveru. Sucuri izričito navodi da njihov SiteCheck skener ne može da detektuje pretnje na strani servera koje se ne pojavljuju na samim stranicama koje skener posećuje.

WordPress skener malvera koji radi unutar same instalacije može pružiti dodatne dokaze. Wordfence, na primer, može da uporedi podržane WordPress core fajlove, teme i plagine sa njihovim originalnim verzijama iz zvaničnog repozitorijuma. Pregledajte njegove nalaze pre popravke ili brisanja fajlova; određena izmena u kodu možda zahteva dodatnu proveru umesto automatskog uklanjanja.

Čist rezultat eksternog skeniranja je koristan podatak, ali sam po sebi nije dovoljan da biste sajt proglasili potpuno čistim.

Izaberite između vraćanja bekapa i čišćenja sajta

Vratite samo onaj bekap koji ste prethodno proverili

Bekap napravljen pre nego što ste primetili napad može i dalje sadržati infekciju. Proverite kopiju za oporavak pre nego što se oslonite na nju i zatvorite bezbednosni propust ili kompromitovani pristup pre nego što vraćeni sajt ponovo pustite u rad.

Za WooCommerce prodavnicu, takođe utvrdite šta se sve dešavalo na sajtu nakon što je taj bekap napravljen. Zamena današnje baze podataka starijom kopijom može pregaziti novije porudžbine, podatke o kupcima i promene u zalihama. 24WP vodič za staging okruženje objašnjava identičan problem gubitka podataka kada starija baza podataka zameni aktivnu prodavnicu.

Postavite svom developeru konkretno pitanje: „Kako ćete sačuvati legitimne porudžbine i izmene podataka o kupcima koje su nastale nakon ovog bekapa?“

Očistite instalaciju kada odgovarajući bekap nije dostupan

Uklanjanje WordPress malvera i virusa sa sajta može podrazumevati zamenu zaraženih fajlova proverenim kopijama, čišćenje malicioznog sadržaja iz baze podataka, brisanje neovlašćenih naloga i pronalaženje skrivenih „backdoor“ ulaza. Backdoor predstavlja skriveni pristup koji napadač može iskoristiti da se vrati na sajt čak i nakon što uklonite vidljivu štetu. Drugi sajtovi koji se nalaze na istom hosting nalogu takođe mogu zahtevati proveru.

Ovaj posao zahteva nekoga ko ume da razlikuje maliciozne izmene od legitimnog prilagođenog (custom) koda. Ako ne možete sa sigurnošću da pregledate PHP fajlove i izmene u bazi podataka, prepustite čišćenje stručnjacima umesto da isprobavate nepoznata rešenja na svom poslovnom sajtu.

Proverite bezbednost i poslovne funkcije pre ponovnog otvaranja sajta

Tražite od osobe zadužene za oporavak da vam objasni šta je pronašla, šta je uklonila i šta je promenila kako bi se smanjila šansa za novi upad. Ako nisu uspeli da utvrde tačnu ulaznu tačku napada, ta neizvesnost mora biti jasno navedena u izveštaju pri predaji posla.

Zatim testirajte delove sajta koje vaši klijenti zaista koriste:

• Pošaljite testni upit preko kontakt forme i potvrdite da uredno stiže.

• Proverite procese prijavljivanja (login) i resetovanja lozinke.

• Za online prodavnicu, testirajte korpu, obračun dostave i proces naplate (checkout) koristeći odgovarajući testni metod plaćanja.

• Potvrdite da obaveštenja o porudžbinama i važne eksterne integracije rade ispravno.

24WP smernice za rad sa staging okruženjem naglašavaju važnost testiranja kompletnog korisničkog puta. Početna stranica koja se uspešno učitava govori vam veoma malo o tome da li uplata ili upit klijenta zaista stižu do vašeg biznisa.

Posebno rešite Google bezbednosna upozorenja

Ako je Google označio vaš sajt kao opasan, otvorite izveštaj „Security Issues“ (Bezbednosni problemi) u alatu Google Search Console. Istražite sve prijavljene probleme; navedeni URL-ovi su samo primeri, a ne nužno i kompletna lista pogođenih stranica.

Nakon što popravite i testirate ceo sajt, zatražite ponovni pregled (Request a review) i opišite šta ste sve uradili. Google navodi da ovi pregledi mogu trajati danima ili nedeljama. Uklanjanje malvera ne znači da će upozorenje u pregledaču nestati istog trenutka, a uklanjanje upozorenja ne garantuje da se odmah vratila i prethodna vidljivost sajta u pretrazi.

Redovno održavanje WordPress sajtova kao najbolja zaštita

Kontinuirano i stručno mesečno održavanje sajta je najefikasniji način da sprečite bezbednosne incidente pre nego što nastanu. Redovno ažurirajte WordPress, plagine i teme, koristite proverene izvore softvera i dajte svakom korisničkom nalogu samo onaj nivo pristupa koji mu je neophodan za rad. Čuvajte bekape na odvojenoj lokaciji i proveravajte da li možete uspešno da ih vratite. Ove mere značajno smanjuju rizik, mada nijedna rutina održavanja ne može učiniti sajt potpuno nemogućim za kompromitovanje.

Uključite i zaboravljene instalacije u bezbednosni pregled. Wordfence upozorava da zastarela kopija sajta u javnom direktorijumu kao što je /old/ može pružiti napadaču otvoren put nazad u web sajt koji se inače redovno održava.

Česta pitanja (FAQ)

Mogu li sam da popravim hakovan WordPress sajt?

Možete prikupiti dokaze, kontaktirati hosting i koordinisati proces oporavka. Ručno čišćenje malvera zahteva sposobnost razumevanja pogođenog koda i serverske konfiguracije. Google preporučuje da potražite stručnu WordPress podršku kada taj posao prevazilazi vaše tehničko iskustvo.

Da li će ponovna instalacija WordPress-a ukloniti sav malver?

Ne nužno. Maliciozni sadržaj može postojati i u plaginima, temama, folderu sa otpremljenim fajlovima (uploads) ili u samoj bazi podataka. Oporavak mora da obuhvati celu pogođenu instalaciju, umesto pretpostavke da zamena osnovnih (core) fajlova rešava sve.

Popravka hakovanog sajta i održavanje sajta: cena i šta da pitate pre saradnje?

Kada vas zanima popravka ili redovno održavanje WordPress sajtova, cena zavisi od obima štete i kompleksnosti sistema, pa je ključno da unapred znate šta plaćate. Pre nego što pristanete na saradnju, pitajte šta sve istraga obuhvata, da li su čišćenje baze podataka i uklanjanje skrivenih backdoor-ova uključeni u rad, kako će sačuvati trenutne poslovne podatke i koje provere obavljaju nakon završetka posla. Takođe pitajte šta se dešava ako se infekcija vrati i obavezno tražite obim posla i cenu održavanja ili čišćenja sajta napismeno.

WordPress pomoć i tehnička podrška za vaš sajt

Ako vam je potrebna brza tehnička pomoć, čišćenje malvera ili pouzdano održavanje web sajta, kontaktirajte 24WP tim. Navedite adresu sajta, simptome koje ste primetili, kada su počeli i bilo koju poruku koju ste dobili od hosting provajdera. Napomenite da li možete da pristupite administratorskom panelu (dashboard) i da li imate dostupne bekape. Ne šaljite lozinke u prvom upitu.

Izvori

WordPress.org: FAQ — My site was hacked

Wordfence: How to clean a hacked WordPress site

WordPress: Hardening WordPress

Sucuri SiteCheck: Scanner scope and limitations

Sucuri: How to remove malware and clean a hacked WordPress site

24WP: WordPress staging site — what it is and why you need one

Google Search Console: Security Issues report