Моят сайт е хакнат: план за действие

Хакнатият сайт е неприятен, но с ясен план за действие можете да го почистите отново и да предотвратите повторение. Най-важното: само връщане на резервно копие не е достатъчно. Ако не знаете как е влязъл нарушителят, вратата остава отворена.

Как разбирате, че сайтът Ви е хакнат?

• Посетителите попадат на друг уебсайт, често само от Google или само на телефон.
• Google показва при Вашия сайт Този сайт може да е хакнат, или в резултатите от търсенето се появяват странни страници от Вашия домейн.
• Вашият браузър или антивирусна програма предупреждава за собствения Ви сайт.
• В WordPress има файлове или администратори, които не познавате.
• Получавате съобщение от нас или Imunify360 е открил злонамерен софтуер.
• Вашата пощенска кутия изпраща спам или внезапно достигате лимита за изпращане (вижте Какво да направите, ако Вашият имейл адрес е злоупотребен).

Стъпка 1: запазете спокойствие и документирайте

Не изхвърляйте веднага всичко. Запишете какво виждате, кога е започнало, и направете скрийншотове. Тази информация ще Ви е необходима по-късно, за да намерите причината, а и на нас, ако поискате помощ.

Стъпка 2: сменете всички пароли

Приемете, че нарушителят знае някаква парола. Сменете всички пароли, за предпочитане от друг компютър от този, който обичайно използвате, в случай че той е заразен:

1. Паролата за Mijn WebOké. Допълнителният код при влизане там винаги е включен; ако вместо кода по E-Mail искате приложение за удостоверяване, настройте го в Моята администрация и Данни за вход.
2. Вашата DA парола (вижте Задаване или смяна на паролата за DA). Това важи и за стандартния FTP акаунт.
3. Паролите на допълнителните FTP акаунти (вижте FTP акаунти: създаване и управление). Изтрийте акаунти, които вече не използвате.
4. Всички администратори в WordPress или друга система за управление на съдържание. Изтрийте администратори, които не познавате.
5. Паролата на потребителя на базата данни (вижте Потребители на базата данни, права и пароли). След това я коригирайте и в конфигурационния файл на Вашия уебсайт, например wp-config.php.
6. Изпраща ли пощенска кутия спам? Сменете и тази парола (вижте Промяна на паролата на имейл адрес).

След това включете в DirectAdmin Two-Step Authentication (вижте Twee-Staps Authenticatie instellen).

Стъпка 3: сканиране с Imunify360

Отворете в DirectAdmin под Extra Features приставката Imunify360 Plugin. Там виждате кои файлове са открити като заразени и можете да поискате ново сканиране на пакета си. Как работи това и какво означават съобщенията, прочетете в Imunify360: сканиране на уебсайта Ви за злонамерен софтуер.

Стъпка 4: разберете как е влязъл нарушителят

Най-честите причини, подредени от чести към редки:

1. Остарял софтуер. Стара версия на WordPress, приставка или тема с известна уязвимост. Проверете в Installatron или в WordPress кои компоненти изостават (вижте Обновявания и автоматични обновявания).
2. Приставка или тема от ненадежден източник. Безплатните версии на платени приставки (nulled) често съдържат умишлено вградена задна врата.
3. Изтекла или слаба парола. Проверете в Login History кой и кога е влизал в DirectAdmin (вижте История на входовете: кой и кога е влизал?).
4. Заразен компютър, на който са запазени FTP пароли.

Полезни места за проверка:

• В File Manager сортирайте по дата на промяна. Файлове, променени по едно и също време, особено в папки за качвания, заслужават внимание.
• В дневника за достъп под Site summary & logs виждате кои адреси се извикват често, обикновено с POST заявки към един файл (вижте Site summary & logs: лог файлът за грешки и лог файлът за достъп).

Стъпка 5: почистете или възстановете чисто резервно копие

Имате две възможности:

• Възстановяване на резервно копие отпреди хакването. С WebOké Backups в Mijn WebOké сами избирате момент от последните 30 дни (вижте Може ли това и в Mijn WebOké? WebOké Backups). Изберете момент отпреди появата на първите странни файлове. Веднага след това актуализирайте всичко (стъпка 6), тъй като уязвимостта присъства и в резервното копие.
• Самостоятелно почистване. Оставете Imunify360 да почисти заразените файлове, изтрийте непознатите файлове и преинсталирайте WordPress и всички приставки от официалния източник.

Внимание: При съмнение изберете в WebOké Backups първо Като копие до текущото. Така нищо от текущото състояние не се променя и можете спокойно да сравните.

Стъпка 6: актуализирайте всичко и подредете

• Актуализирайте WordPress (или друга система за управление на съдържание), всички приставки и теми до най-новата версия.
• Изтрийте приставки и теми, които не използвате. Дори изключените приставки могат да съдържат уязвимост.
• Изтрийте стари копия и тестови инсталации в подпапки.
• Използвайте актуална версия на PHP (вижте Избор на версия на PHP (Select PHP version)).

Стъпка 7: последващи действия

• Показва ли Google предупреждение? След почистването поискайте нова проверка в Google Search Console.
• Изпращала ли е Вашата пощенска кутия спам? Прочетете Какво да направите, ако Вашият имейл адрес е злоупотребен и Verzenden geweigerd: blacklists en limieten.
• Оставете Web Application Firewall включен (вижте Web Application Firewall).
• През следващите седмици проверявайте от време на време Imunify360 и списъка си с администратори на WordPress.

Нуждаете се от помощ?

Не можете да се справите сами, или става въпрос за онлайн магазин с данни на клиенти? Отворете заявка и опишете какво вече сте направили (вижте Искане на помощ: какво съобщавате на поддръжката?). Ако става въпрос за лични данни, може да се наложи да уведомите компетентния орган за защита на личните данни за нарушение на сигурността на данните.