Hakovan WordPress sajt: znaci napada i šta uraditi korak po korak

Hakovan WordPress sajt je situacija u kojoj se mnogi vlasnici prvi put zapitaju gde su im bekapi i ko zapravo održava sajt. Dobra vest je da se većina slučajeva može rešiti ako se postupa smireno i redom. U ovom tekstu opisujemo znake da je sajt kompromitovan i korake za oporavak, od prvog sata do dugoročne zaštite. Tekst je namenjen vlasnicima sajtova i fokusiran je na odbranu i oporavak.

Znaci da je sajt hakovan

Napad nije uvek očigledan. Napadači često žele da sajt radi normalno, kako bi što duže koristili njegov ugled ili server. Obratite pažnju na sledeće:

• Preusmeravanja. Posetioci sa telefona ili iz Google pretrage završavaju na sumnjivim sajtovima, dok vama sajt izgleda normalno.
• Čudni rezultati u pretrazi. Pretraga „site:vasdomen.rs“ prikazuje stranice na stranim jezicima, sa reklamama za lekove, kockanje ili kopije brendova.
• Upozorenja. Pregledač ili Google Search Console prijavljuju opasan sadržaj, a hosting šalje obaveštenje o zlonamernim fajlovima.
• Nepoznati korisnici sa administratorskim pravima u WordPress panelu.
• Novi ili izmenjeni fajlovi sa nerazumljivim, šifrovanim kodom, često u folderima za otpremanje slika.
• Sajt šalje spam – mejlovi se vraćaju, domen završava na crnim listama.
• Naglo usporavanje ili neobično veliko opterećenje servera.

Jedan znak sam po sebi ne dokazuje napad, ali više njih zajedno ozbiljno upućuje na problem.

Prvi sat: šta uraditi odmah

1. Ne panicite i ne brišite nasumično. Brzo brisanje fajlova može ukloniti tragove, a ostaviti ulaz koji je napadač napravio.
2. Obavestite hosting. Hosting podrška često ima logove i alate za skeniranje, a ponekad već zna šta se desilo.
3. Napravite kopiju trenutnog stanja fajlova i baze, i pored toga što je zaraženo. Služi za analizu, ne za vraćanje.
4. Promenite lozinke – WordPress administratori, hosting panel, FTP ili SFTP, baza podataka i mejl nalozi vezani za sajt. Radite to sa računara za koji ste sigurni da nije zaražen.
5. Po potrebi uključite režim održavanja kako posetioci ne bi bili preusmeravani na štetne sajtove.

Čišćenje korak po korak

Postoje dva osnovna puta: vraćanje čistog bekapa ili ručno čišćenje. Idealno je kombinovati ih.

Bez obzira na put, postupak obično izgleda ovako:

1. Zamenite jezgro WordPress-a svežom kopijom sa zvaničnog sajta, iste verzije.
2. Ponovo instalirajte teme i dodatke iz zvaničnih izvora. Uklonite sve što ne koristite i sve što je preuzeto sa sumnjivih sajtova kao „besplatna“ verzija plaćenog dodatka – to je čest izvor zaraze.
3. Pregledajte folder sa otpremljenim fajlovima. Tu bi trebalo da budu slike i dokumenti, a ne PHP fajlovi.
4. Proverite bazu – nepoznate administratore, sumnjive skripte u sadržaju stranica i podešavanjima.
5. Promenite sigurnosne ključeve u konfiguraciji, čime se odjavljuju sve aktivne sesije.
6. Skenirajte ponovo sajt alatom za bezbednost i proverite sa više uređaja da li preusmeravanja i dalje postoje.

Ako niste sigurni u neki korak, bolje je angažovati nekoga ko se time bavi nego rizikovati da zaraza ostane skrivena.

Posle čišćenja: Google, posetioci i mejl

• Google Search Console – proverite izveštaj o bezbednosnim problemima i, ako postoji upozorenje, zatražite ponovnu proveru kada je sajt očišćen.
• Neželjene stranice u pretrazi – stranice koje je napadač napravio treba da vraćaju grešku „ne postoji“, kako bi s vremenom nestale iz indeksa.
• Crne liste za mejl – ako je sajt slao spam, proverite domen i IP adresu i zatražite uklanjanje.
• Podaci korisnika – ako postoji mogućnost da su procureli podaci kupaca, na primer iz web shopa, raspitajte se o obavezama prema Zakonu o zaštiti podataka o ličnosti. Ovo je situacija za pravni savet.

Kako napadači najčešće ulaze

Da bi oporavak bio trajan, važno je razumeti kako je do napada došlo. Najčešći uzroci su dobro poznati:

• zastareli dodaci i teme sa poznatim ranjivostima;
• „nulled“ (piratske) verzije plaćenih dodataka sa ugrađenim zlonamernim kodom;
• slabe ili ponovljene lozinke, bez dvofaktorske prijave;
• napušteni dodaci koje autor više ne ažurira;
• deljeni hosting sa lošom izolacijom između naloga.

Prevencija: da se ne ponovi

Najjeftiniji oporavak je onaj koji nije potreban. Osnovne mere:

• Redovna ažuriranja jezgra, tema i dodataka, uz proveru da sajt posle toga radi.
• Automatski bekapi čuvani van servera, sa više verzija unazad, i povremeno probno vraćanje.
• Dvofaktorska prijava za sve administratore i što manje naloga sa punim pravima.
• Manje dodataka – svaki dodatak je potencijalni ulaz, o čemu pišemo u tekstu WordPress dodaci: saveti i greške.
• Kvalitetan hosting sa izolacijom naloga i skeniranjem – pogledajte koji hosting izabrati.
• Nadzor dostupnosti sajta i izmena fajlova.

Detaljnije o osnovama zaštite pročitajte u tekstu bezbednost sajta: SSL, bekapi i ažuriranja, a o tome šta sve spada u redovan rad na sajtu u tekstu održavanje sajta: šta obuhvata.

Zaključak

Hakovan sajt nije kraj sveta, ali traži sistematičan pristup: prepoznati znake, zaštititi pristupne podatke, očistiti sajt iz pouzdanih izvora, zatvoriti rupu kroz koju je napadač ušao i uvesti redovno održavanje. Ako sumnjate da je vaš WordPress sajt kompromitovan ili želite da proverimo koliko je zaštićen, pošaljite nam upit za besplatnu analizu i ponudu.