Nettstedet mitt er hacket: steg for steg

Et hacket nettsted er irriterende, men med en fast fremgangsmåte får du det rent igjen og forhindrer at det skjer på nytt. Det viktigste: det er ikke nok å bare gjenopprette en sikkerhetskopi. Hvis du ikke vet hvordan inntrengeren kom inn, står døren fortsatt åpen.

Hvordan merker du at nettstedet ditt er hacket?

• Besøkende havner på et annet nettsted, ofte bare fra Google eller bare på mobil.
• Google viser Dette nettstedet kan være hacket ved ditt nettsted, eller det dukker opp rare sider fra domenet ditt i søkeresultatene.
• Nettleseren din eller virusskanneren advarer mot ditt eget nettsted.
• Det finnes filer eller administratorer i WordPress som du ikke kjenner igjen.
• Du får en melding fra oss, eller Imunify360 har funnet skadevare.
• Postkassen din sender spam, eller du når plutselig sendegrensen (se Hva du skal gjøre hvis e-postadressen din misbrukes).

Steg 1: hold deg rolig og dokumenter

Ikke slett alt med en gang. Noter hva du ser, når det startet, og ta skjermbilder. Den informasjonen trenger du senere for å finne årsaken, og det gjør vi også hvis du ber om hjelp.

Steg 2: endre alle passord

Gå ut fra at en inntrenger kjenner et passord. Endre alle sammen, helst fra en annen datamaskin enn den du vanligvis bruker, i tilfelle den er infisert:

1. Passordet til Mitt WebOké. Den ekstra koden ved innlogging er alltid aktivert der; vil du bruke en autentiseringsapp i stedet for kode på e-post, sett det opp under Min administrasjon og Innloggingsopplysninger.
2. DA-passordet ditt (se Stille inn eller endre DA-passordet ditt). Dette gjelder også standard FTP-konto.
3. Passordene til ekstra FTP-kontoer (se FTP-kontoer opprettes og administreres). Fjern kontoer du ikke lenger bruker.
4. Alle administratorer i WordPress eller ditt andre CMS. Fjern administratorer du ikke kjenner igjen.
5. Passordet til databasebrukeren (se Databasebrukere, rettigheter og passord). Oppdater det deretter også i konfigurasjonsfilen til nettstedet ditt, som wp-config.php.
6. Sender en postkasse spam? Endre da også det passordet (se Endre passordet til en e-postadresse).

Slå deretter på Two-Step Authentication i DirectAdmin (se Sette opp Twee-Staps Authenticatie).

Steg 3: skann med Imunify360

Åpne Imunify360 Plugin under Extra Features i DirectAdmin. Der ser du hvilke filer som er funnet infisert, og du kan få skannet pakken din på nytt. Hvordan det fungerer og hva meldingene betyr, kan du lese i Imunify360: skann nettstedet ditt for skadevare.

Steg 4: finn ut hvordan inntrengeren kom inn

De vanligste årsakene, fra ofte til sjelden:

1. Utdatert programvare. En gammel versjon av WordPress, en plugin eller et tema med et kjent sikkerhetshull. Sjekk i Installatron eller i WordPress hvilke komponenter som ligger etter (se Oppdateringer og automatiske oppdateringer).
2. En plugin eller et tema fra en upålitelig kilde. Gratisversjoner av betalte plugins (nulled) inneholder ofte en bevisst bakdør.
3. Et lekket eller svakt passord. Se under Login History hvem som logget inn i DirectAdmin og når (se Login History: hvem logget inn, og når?).
4. En infisert datamaskin der FTP-passord er lagret.

Nyttige steder å lete:

• I File Manager sorterer du etter endringsdato. Filer som er endret på samme tidspunkt, spesielt i mapper for opplastinger, fortjener oppmerksomhet.
• I tilgangsloggen under Site summary & logs ser du hvilke adresser som blir kalt ofte, gjerne med POST-forespørsler til én fil (se Site summary & logs: feillogg og tilgangslogg).

Steg 5: rydd opp eller gjenopprett en ren sikkerhetskopi

Du har to muligheter:

• Gjenopprette en sikkerhetskopi fra før hacket. Med WebOké Backups i Mitt WebOké velger du selv et tidspunkt fra de siste 30 dagene (se Finnes dette også i Mijn WebOké? WebOké Backups). Velg et tidspunkt fra før de første merkelige filene dukket opp. Oppdater alt umiddelbart etterpå (steg 6), for lekkasjen finnes også i sikkerhetskopien.
• Rydde opp selv. La Imunify360 rydde opp i de infiserte filene, fjern ukjente filer og legg WordPress og alle plugins på nytt fra den offisielle kilden.

Merk: Velg Som kopi ved siden av den nåværende i WebOké Backups hvis du er i tvil. Da endres ingenting i det som ligger der nå, og du kan rolig sammenligne.

Steg 6: oppdater alt og rydd opp

• Oppdater WordPress (eller ditt andre CMS), alle plugins og temaer til nyeste versjon.
• Fjern plugins og temaer du ikke bruker. Også deaktiverte plugins kan inneholde et sikkerhetshull.
• Fjern gamle kopier og testinstallasjoner i undermapper.
• Bruk en oppdatert PHP-versjon (se Velge PHP-versjon (Select PHP version)).

Steg 7: etterarbeid

• Viser Google en advarsel? Be om en ny vurdering i Google Search Console etter opprydningen.
• Har postkassen din sendt spam? Les Hva du skal gjøre hvis e-postadressen din misbrukes og Sending avvist: svartelister og grenser.
• La Web Application Firewall stå på (se Web Application Firewall).
• Sjekk Imunify360 og listen over WordPress-administratorer av og til de neste ukene.

Trenger du hjelp?

Kommer du ikke videre, eller gjelder det en nettbutikk med kundedata? Opprett da en sak og fortell hva du allerede har gjort (se Be om hjelp: hva gir du videre til support?). Gjelder det personopplysninger, kan du være pålagt å melde et datainnbrudd til Datatilsynet.