Moje webová stránka byla napadena: postup krok za krokem

Napadená webová stránka je nepříjemná, ale s pevně daným postupem ji opět zprovozníte a zabráníte tomu, aby se to opakovalo. Nejdůležitější je: pouhé obnovení zálohy nestačí. Pokud nevíte, jak se útočník dostal dovnitř, dveře zůstávají stále otevřené.

Jak poznáte, že byla Vaše stránka napadena?

• Návštěvníci se dostávají na jinou webovou stránku, často pouze z Google nebo pouze na telefonu.
• Google u Vaší stránky zobrazuje Tato stránka možná byla napadena hackery, nebo se ve výsledcích vyhledávání objevují podivné stránky z Vaší domény.
• Váš prohlížeč nebo antivirový program varuje před Vaší vlastní stránkou.
• Ve WordPressu se objevují soubory nebo správci, které neznáte.
• Obdržíte upozornění od nás, nebo Imunify360 najde malware.
• Vaše e-mailová schránka rozesílá spam, nebo náhle dosáhnete limitu pro odesílání (viz Co dělat, když je Váš e-mailový adres zneužit).

Krok 1: zachovejte klid a vše zaznamenejte

Nic hned nemažte. Zapište si, co vidíte, kdy to začalo, a pořiďte screenshoty. Tyto informace budete potřebovat později při hledání příčiny, a my také, pokud požádáte o pomoc.

Krok 2: změňte všechna hesla

Vycházejte z toho, že útočník zná nějaké heslo. Změňte je všechna, nejlépe z jiného počítače, než jaký běžně používáte, pro případ, že je ten Váš napadený:

1. Heslo do Mijn WebOké. Dodatečný kód při přihlášení je tam vždy zapnutý; pokud chcete místo kódu přes e-mail používat aplikaci pro autentizaci, nastavte ji v sekci Moje administrativa a Přihlašovací údaje.
2. Vaše heslo DA (viz Nastavení nebo změna hesla k DA). To platí i pro výchozí FTP účet.
3. Hesla dalších FTP účtů (viz FTP účty vytváření a správa). Odstraňte účty, které už nepoužíváte.
4. Všechny správce ve WordPressu nebo jiném CMS, který používáte. Odstraňte správce, které neznáte.
5. Heslo uživatele databáze (viz Uživatelé databáze, oprávnění a hesla). Poté jej upravte i v konfiguračním souboru Vaší webové stránky, například wp-config.php.
6. Rozesílá e-mailová schránka spam? Pak změňte i toto heslo (viz Změna hesla e-mailové adresy).

Poté v DirectAdmin zapněte Dvoufázovou autentizaci (viz Nastavení dvoufázové autentizace).

Krok 3: skenování pomocí Imunify360

V DirectAdmin otevřete v sekci Extra funkce Imunify360 Plugin. Tam uvidíte, které soubory byly označeny jako infikované, a můžete nechat svůj balíček znovu zkontrolovat. Jak to funguje a co jednotlivá hlášení znamenají, si přečtěte v Imunify360: kontrola webu na malware.

Krok 4: zjistěte, jak se útočník dostal dovnitř

Nejčastější příčiny, od nejobvyklejších po nejméně obvyklé:

1. Zastaralý software. Stará verze WordPressu, pluginu nebo šablony se známou zranitelností. Podívejte se v Installatron nebo ve WordPressu, které součásti zaostávají (viz Aktualizace a automatické aktualizace).
2. Plugin nebo šablona z nedůvěryhodného zdroje. Bezplatné verze placených pluginů (nulled) často obsahují záměrně vloženou zadní vrátka.
3. Uniklé nebo slabé heslo. Podívejte se v sekci Historie přihlášení, kdo a kdy se přihlásil do DirectAdmin (viz Historie přihlášení: kdo se kdy přihlásil?).
4. Napadený počítač, na kterém byla uložena FTP hesla.

Užitečná místa, kde hledat:

• Ve Správci souborů seřaďte soubory podle data úpravy. Soubory, které byly změněny ve stejnou dobu, zejména ve složkách pro nahrávání, si zaslouží pozornost.
• V přístupovém protokolu v sekci Souhrn webu a logy vidíte, které adresy jsou často volány, často pomocí POST požadavků na jeden soubor (viz Souhrn webu a logy: log chyb a log přístupů).

Krok 5: vyčištění nebo obnovení čisté zálohy

Máte dvě možnosti:

• Obnovit zálohu před napadením. Pomocí WebOké Backups v Mijn WebOké si sami vyberete okamžik z posledních 30 dnů (viz Jde to i v Mijn WebOké? WebOké Backups). Zvolte okamžik předtím, než se objevily první podivné soubory. Hned poté vše aktualizujte (krok 6), protože zranitelnost je i v záloze.
• Vyčistit stránku sami. Nechte Imunify360 vyčistit infikované soubory, odstraňte neznámé soubory a znovu nainstalujte WordPress a všechny pluginy z oficiálního zdroje.

Pozor: V případě pochybností zvolte ve WebOké Backups nejprve možnost Jako kopie vedle stávajícího. Tím se nic nezmění na aktuálním stavu a můžete v klidu porovnat.

Krok 6: aktualizujte a vyčistěte vše

• Aktualizujte WordPress (nebo jiný CMS, který používáte), všechny pluginy a šablony na nejnovější verzi.
• Odstraňte pluginy a šablony, které nepoužíváte. I deaktivované pluginy mohou obsahovat zranitelnost.
• Odstraňte staré kopie a testovací instalace v podsložkách.
• Používejte aktuální verzi PHP (viz Výběr verze PHP (Select PHP version)).

Krok 7: následná péče

• Zobrazuje Google varování? Po vyčištění požádejte o nové posouzení v Google Search Console.
• Rozesílala Vaše e-mailová schránka spam? Přečtěte si Co dělat, když je Váš e-mailový adres zneužit a Verzenden geweigerd: blacklists en limieten.
• Nechte zapnutý Webový aplikační firewall (viz Webový aplikační firewall).
• Během následujících týdnů čas od času zkontrolujte Imunify360 a seznam svých správců WordPressu.

Potřebujete pomoc?

Nedaří se Vám to vyřešit, nebo jde o e-shop s údaji zákazníků? Vytvořte tiket a popište, co jste již udělali (viz Žádost o pomoc: co sdělit podpoře?). Pokud jde o osobní údaje, možná budete muset nahlásit únik dat příslušnému úřadu pro ochranu osobních údajů.