Feltört a WordPress-oldalad? Így ismerd fel a jeleket, és ezt tedd az első 24 órában

Egy utazási iroda esete, és egy gyakori forgatókönyv

Nemrég egy nagy forgalmú utazási iroda weboldalát kellett rendbe tenni egy fertőzés után. Egy ilyen oldalon minden perc számít: a foglalások és az ajánlatkérések éjjel-nappal érkeznek, és egy leállás vagy egy idegen oldalra irányító kártevő közvetlenül elveszett utasokat jelent.

A takarítás során a WordPress-mag és az összes bővítmény tiszta forrásból került újra fel, és bekapcsolták a kétlépcsős belépést. Ezután mi tételesen átvizsgáltuk az oldalt: a mag és a bővítmények megegyeztek a hivatalos változattal, és a feltöltések mappájában sem maradt futtatható kód. A vizsgálat azonban olyan réseket is talált, amelyekről a tulajdonos nem tudott: nyilvánosan letölthető telepítési naplókat, amelyekből kiolvasható volt a szerver felépítése, kívülről lekérdezhető felhasználóneveket, és egy kikapcsolt időzítőt, ami miatt a háttérfeladatok csendben leállhattak. Ezeket is lezártuk. A tanulság: a kártevő eltávolítása csak a munka fele, a kaput is be kell zárni, amin bejött.

Egy gyakori forgatókönyv

Hogy a jeleket könnyebb legyen felismerni, nézzünk egy tipikus esetet, ahogy sok kisvállalkozás oldalán lezajlik. Ez szemléltető példa, nem egy konkrét ügyfelünk története. Minden egy ellopott admin-belépéssel kezdődik: a támadó a tulajdonos saját belépési adataival jut be, így a bejelentkezése egy szokásos belépésnek látszik.

Ezután feltölt egy bővítménynek álcázott fájlt, ami a háttérben kártevőt tölt le az oldalra. A kártevő rejtett admin-felhasználókat hoz létre, amelyek a felhasználói listában nem látszanak, de a támadónak akkor is teljes hozzáférést adnak, ha az eredeti jelszót közben lecserélték. A látogatók egy részét, jellemzően a mobilról vagy a Google-találatról érkezőket, idegen oldalra irányítja, így a tulajdonos a saját gépéről sokáig semmit nem vesz észre.

Ezért fontos, hogy rendszeresen nézd át az admin-felhasználókat és a telepített bővítményeket, és ha bármi gyanúsat látsz, azonnal lépj. A következő részben megmutatjuk, mely jelekre figyelj.

Milyen jelek utalnak arra, hogy feltörték az oldalad

Több jel is utalhat arra, hogy az oldalad feltörték. Ezek segíthetnek időben felismerni a problémát és megtenni a szükséges lépéseket a helyreállítás érdekében.

• Ismeretlen admin-felhasználó: Ha a Felhasználók között olyan admin-felhasználót találsz, akit nem te hoztál létre, az illetéktelen hozzáférésre utalhat.
• Ismeretlen bővítmények: Olyan bővítmények jelenhetnek meg, amelyeket nem te telepítettél. Ezek gyakran kártékonyak, és érdemes azonnal eltávolítani őket.
• Átirányítás más oldalakra: Ha mobilról vagy Google-találatról érkezve az oldalad átirányít más, ismeretlen oldalakra, az betörés jele lehet.
• Idegen nyelvű oldalak a site: keresésben: Ha idegen nyelvű tartalmak jelennek meg, az arra utalhat, hogy valaki módosította az oldal tartalmát.
• Biztonsági értesítések: Ha a tárhelyszolgáltatódtól vagy a Google Search Console-tól biztonsági értesítéseket kapsz, az figyelmeztető jel lehet, hogy az oldalad veszélybe került.

Ezek a jelek arra utalhatnak, hogy az oldalad illetéktelen kezekbe került. Fontos, hogy azonnal reagálj, és kövesd a megfelelő lépéseket a károk minimalizálása érdekében.

Mit ne tegyél, ha feltörésre gyanakszol

Ha feltörésre gyanakszol, ne törölj azonnal gyanús fájlokat. Fejetlen törlés nagyobb károkat okozhat, mint amennyit megold. A rendszerfájlok eltávolítása veszélyeztetheti az oldal működését és nehezítheti a helyreállítást.

Sokan azonnal visszaállítják a legutóbbi mentést, remélve, hogy azzal minden probléma megoldódik. Azonban a mentés is fertőzött lehet, így a betörés útja nyitva maradhat, és a támadók ismét hozzáférhetnek az oldaladhoz.

Miért veszélyes a vak visszaállítás? A kártevő gyakran napokig vagy hetekig rejtve dolgozik, mielőtt bárki észreveszi, ezért a legutóbbi mentés könnyen már a fertőzött állapotot őrzi. És ha a mentés tiszta is, a támadó belépési útja, az ellopott jelszó, ugyanúgy nyitva marad: néhány nap múlva ugyanott tartasz.

Ugyanígy ne nevezz át és ne helyezz át fájlokat találomra, mert azzal a nyomokat is eltünteted, amelyekből kideríthető, hogyan jutott be a támadó. A visszaállítás csak az első lépések után, egy ellenőrzötten tiszta mentésből jöhet szóba. A helyes sorrendet a következő részben lépésenként mutatjuk meg.

Az első 24 óra: a helyes cselekvési sorrend

A feltört WordPress-oldal helyreállítása során az első 24 óra kritikus. A megfelelő lépések segíthetnek minimalizálni a károkat és visszaszerezni az ellenőrzést. Fontos, hogy ne kapkodj, hanem kövesd az alábbi cselekvési sorrendet.

1. Mentés készítése a fertőzött állapotról: Készíts egy mentést a jelenlegi, fertőzött állapotról. Ez bizonyítékként szolgálhat, és lehetőséget biztosít a későbbi elemzésre.
2. Ismeretlen adminok és bővítmények eltávolítása: Távolítsd el az összes ismeretlen admin-felhasználót és bővítményt.
3. WordPress-mag és bővítmények tiszta újratelepítése: Telepítsd újra a WordPress-mag fájlokat és a bővítményeket, hogy megszabadulj minden kártékony kódtól.
4. Minden jelszó és kulcs cseréje: Cseréld le az összes jelszót és biztonsági kulcsot, beleértve a WordPress, tárhely, FTP, adatbázis és e-mail hozzáféréseket.
5. Az oldalra belépő számítógépek átvizsgálása: Vizsgáld át az összes számítógépet, amely az oldalra belépett, hogy kizárd a jelszószivárgás lehetőségét.
6. Kétlépcsős belépés bekapcsolása: Aktiváld a kétlépcsős belépést, hogy a jövőben nehezebb legyen illetéktelenül hozzáférni az oldalhoz.

Az első 24 óra során végrehajtott lépések befolyásolhatják az oldal helyreállításának sikerét. Az időben történő és alapos beavatkozás megakadályozhatja a további károkat, és segíthet visszaállítani az oldal biztonságát. A jövőbeni támadások megelőzése érdekében rendszeresen frissítsd az oldalt, készíts mentéseket, és alkalmazd a kétlépcsős belépést. Kevesebb admin-felhasználó kijelölése szintén csökkentheti a biztonsági kockázatokat.

Hogyan előzheted meg a jövőbeli támadásokat

A támadások megelőzéséhez fontos, hogy proaktívan védekezz. Az alábbi lépések segíthetnek csökkenteni annak esélyét, hogy a weboldalad újra áldozatul essen.

• Rendszeres frissítések: Tartsd naprakészen a WordPress-mag fájlokat, bővítményeket és sablonokat. A frissítések gyakran tartalmaznak biztonsági javításokat az ismert sebezhetőségek ellen.
• Rendszeres mentések: Készíts rendszeresen biztonsági mentést az oldaladról, hogy támadás esetén gyorsan helyreállíthasd. A mentéseket tárold biztonságos helyen, külön az oldaltól.
• Kétlépcsős belépés: Aktiváld a kétlépcsős azonosítást, hogy extra védelmet biztosíts a bejelentkezések során. Ez megköveteli, hogy a felhasználók egy második kódot is megadjanak.
• Adminisztrátorok számának csökkentése: Csak a legszükségesebb személyeknek adj adminisztrátori jogosultságot. Minél kevesebb ember fér hozzá az admin felülethez, annál kisebb az esélye a jogosulatlan hozzáférésnek.

Ezekkel az intézkedésekkel csökkentheted a weboldalad sebezhetőségét. A biztonság sosem garantálható teljes mértékben, de a megfelelő óvintézkedésekkel minimalizálhatod a kockázatokat.

Gyanús az oldalad? Küldd el, megnézzük

Ha gyanús jelet észlelsz az oldaladon, fontos lépéseket tenni. A legrosszabb, ha figyelmen kívül hagyod a problémát, mert ezzel növeled a kockázatot. Elsőként alaposan nézd át az oldalad a cikkben említett jelek alapján. Ha ezek közül bármelyiket tapasztalod, érdemes azonnal cselekedni.

Ha nem vagy biztos a dolgokban, vagy további segítségre van szükséged, kérj szakértői támogatást. Szolgáltatásaink között szerepel a weboldal-üzemeltetés és karbantartás, amelyek révén megbizonyosodhatsz arról, hogy az oldalad megfelelően védett. Ez segíthet a jelenlegi problémák megoldásában és a jövőbeli támadások megelőzésében is.

Ha gyanús az oldalad, és szeretnéd, hogy szakértői szemmel is átnézzük, küldd el nekünk. Az ajánlatkérés során részletesen áttekintjük az oldalad állapotát, és javaslatot teszünk a szükséges lépésekre.