To hackede WordPress-sider: fra spam i Google til stabil drift

1 · Problemet

Siden så helt normal ud

Ejeren havde ikke selv bemærket noget. Det var en af virksomhedens kunder, der søgte efter firmaet på Google, klikkede på resultatet – og endte på en spam-side.

Kunden gav besked, og virksomheden kontaktede os. Det er typisk: Et angreb er sjældent synligt på forsiden. Det viser sig i Google, i omdirigeringer eller i filer, ingen kigger på.

2 · Hvad vi fandt

Skadelig kode, ukendte filer og spam i Google

Vi analyserede databasen og filerne på begge sider. Analysen viste hurtigt:

• skadelig kode og ukendte filer på serveren
• spam-sider, der var indekseret i Google under virksomhedens domæne
• omdirigeringer, der sendte besøgende fra Google videre til spam
• et tema, der ikke havde været opdateret i mange år.

Vi kunne ikke bevise præcis, hvordan angriberne var kommet ind. Vores vurdering ud fra analysen var, at det sandsynligvis var gennem plugins, der ikke var blevet opdateret.

3 · Hvad vi gjorde

Ryddet op på omkring et døgn

• Fjernede de skadelige filer og alt det, angriberne havde tilføjet.
• Skiftede alle adgangskoder og adgange.
• Installerede et sikkerhedsplugin, der holder øje med ændringer i filerne.
• Bad Google om at gennemgå og indeksere siderne igen, efter Googles vejledning for hackede sider.

Selve oprydningen tog omkring et døgn. Hvor lang tid en oprydning tager, afhænger altid af, hvor dybt angrebet sidder.

4 · Fundamentet

Ikke bare et spørgsmål om at trykke “opdater”

Temaet havde ikke været opdateret i mange år, og den sidebygger, der var brugt, havde flyttet sig så meget i mellemtiden, at en almindelig opdatering ikke var nok. Det krævede et større oprydningsarbejde at komme over på et moderne og stabilt fundament – uden at design og funktioner gik tabt – så det fremover kan holdes opdateret.

5 · I dag

Fast drift hver måned

Begge sider er i dag i fast månedlig drift hos RocaPress: opdateringer, backup, sikkerhed og kontrol af, at siderne virker efter hver opdatering.

Lektien: En hjemmeside kan være hacket, selv om den ser helt normal ud for den, der ejer den. Sådan gør du, hvis din side er hacket