Hacket hjemmeside: førstehjælp til dit WordPress-site

Er din hjemmeside hacket, så skift alle adgangskoder, kontakt dit hostingfirma og lad være med at slette filer i panik. Et hack føles voldsomt, men det kan ryddes op. Det vigtigste er at handle roligt og i den rigtige rækkefølge, og at finde hullet, angriberen kom ind ad.

Hvem guiden er til

Guiden er til dig, der:

• ser din forside sende besøgende videre til spam, spil eller falske butikker
• har fået en advarsel fra Google, din host eller en kunde om, at sitet er hacket
• finder administratorer i WordPress, du ikke selv har oprettet
• har fået besked om, at dit site sender spam-mails

Har du allerede renset sitet én gang, og er det sket igen, så læs også Hacket igen og igen.

Hvordan ved jeg, at sitet er hacket?

Nogle hacks er tydelige. Andre er lavet til at blive skjult for dig som ejer. Typiske tegn er:

• Besøgende bliver sendt videre til en anden side, ofte kun når de kommer fra Google eller er på mobil.
• Google viser fremmede titler eller tekster på andre sprog under dit domæne.
• Der er ukendte brugere under Brugere > Alle brugere, især med rollen Administrator.
• Hostingfirmaet har lukket sitet eller sendt en advarsel om skadelig kode.
• Mails fra sitet havner i spam, eller du får fejlmeldinger om mails, du aldrig har sendt.

Ser du mærkelig aktivitet, men er du ikke sikker, så læs Ukendte brugere og mistænkelig aktivitet.

Hvad skal jeg gøre som det første?

Følg trinene i den her rækkefølge. Det tager ikke lang tid, og det stopper skaden.

1. Skift alle adgangskoder. Det gælder WordPress, dit hostingpanel, FTP eller SFTP og den mail, der er knyttet til sitet. Brug lange, unikke kodeord. Har angriberen stadig en nøgle, hjælper oprydningen ikke.
2. Kontakt dit hostingfirma. Fortæl dem, at sitet er kompromitteret. Mange hosts kan se, hvornår og hvordan angrebet skete, og nogle kan midlertidigt lukke for trafik, mens der ryddes op.
3. Tjek din egen computer. Kør et virustjek på de maskiner, der har været logget ind på sitet. Er kodeordet stjålet fra din egen computer, bliver sitet bare hacket igen efter rensningen.
4. Tag en kopi af sitet, som det er nu. Også selv om det er inficeret. Kopien er bevis, og den gør det muligt at se, hvad der er ændret.
5. Skriv ned, hvad du ser. Hvornår opdagede du det? Har du for nylig installeret et plugin eller skiftet tema? Den slags gør det hurtigere at finde hullet.

Hvorfor må jeg ikke bare slette de mærkelige filer?

Fordi du risikerer to ting. Du kan vælte sitet, hvis du sletter en fil, WordPress har brug for. Og du fjerner sporene af, hvordan angriberen kom ind.

Hullet skal findes og lukkes. Ellers sker det igen. Det er en af de fejl, vi oftest ser, når folk selv har prøvet at rydde op.

Hvad kan jeg selv tjekke?

Har du lidt teknisk erfaring, kan du komme et godt stykke selv. Her er de steder, vi altid kigger.

• Brugerne. Gå til Brugere > Alle brugere og filtrer på Administrator. Kender du ikke en bruger, så notér navnet, før du sletter den.
• WordPress’ egne filer. Med WP-CLI kan du køre wp core verify-checksums. Kommandoen sammenligner dine WordPress-filer med de officielle fra wordpress.org og viser, hvad der er ændret.
• .htaccess. WordPress’ dokumentation nævner .htaccess som en af de filer, der oftest bliver misbrugt. Kig efter omdirigeringer, du ikke selv har lavet.
• Temafiler. Filer som header.php, footer.php og functions.php i dit tema er populære gemmesteder for skadelig kode.
• Sikkerhedsnøgler. Lav nye nøgler i wp-config.php med WordPress’ egen nøglegenerator på api.wordpress.org. Så bliver alle, der stadig er logget ind, smidt ud.
• Google Search Console. Her kan du se, om Google har fundet sikkerhedsproblemer på dit domæne. Når sitet er rent, kan du bede om en ny vurdering.

Hvor koden typisk gemmer sig, og hvad den gør ved din placering i Google, kan du læse i Malware: skjulesteder og SEO.

Husk at skifte adgangskoderne igen, når sitet er rent. Det anbefaler WordPress’ egen vejledning, så angriberen ikke har opsnappet de nye.

Hvorfor er et sikkerhedsplugin ikke nok?

Scanner-plugins finder ofte de kendte skadelige filer. Men de finder sjældent bagdøren, der lukkede angriberen ind. Den kan ligge i en fil, der ligner en helt almindelig plugin-fil, eller i databasen.

Plugin’et melder grønt, og kort efter er sitet hacket igen. En grundig oprydning kræver manuel gennemgang af filer, database og brugere. Og så skal selve hullet lukkes.

Hvordan undgår jeg, at det sker igen?

De fleste hacks kommer ind ad de samme tre veje: et forældet plugin, et forældet tema eller en svag adgangskode. Det betyder, at forebyggelsen er ret enkel.

• Opdater WordPress, tema og plugins fast. Se Opdater WordPress sikkert.
• Slet plugins og temaer, du ikke bruger. Deaktiverede plugins kan stadig være et hul.
• Brug stærke, unikke kodeord og gerne to-faktor-login for administratorer.
• Hav en backup, der ligger et andet sted end sitet, og som du har testet. Se Backup af WordPress.

Vil du have et overblik over, hvor dit site står i dag, så start med Sikkerhedstjek af WordPress.

Det ser vi oftest

Forældede plugins. Når vi finder indgangsvejen, er det oftest et forældet plugin, et forældet tema eller en svag adgangskode. Altså noget, der kunne være undgået med fast vedligehold.

Oprydning uden at lukke hullet. Folk har slettet de synlige filer eller gendannet en backup. Men hullet er der stadig, og så er sitet hacket igen kort efter.

Sites, hvor tillid er hele forretningen. På en B2B-shop som Fireprotect henter professionelle kunder teknisk dokumentation og tilmelder sig kurser. Sender sådan et site besøgende videre til spam, koster det mere end selve oprydningen.

Hvad koster det hos os?

Vi renser et hacket WordPress-site til en fast pris på 2.995 kr. ekskl. moms. Du ved altså, hvad det koster, før vi går i gang.

Prisen dækker:

• manuel rens af filer og database
• gennemgang af wp-admin og brugere
• lukning af hullet, angriberen kom ind ad
• 14 dages overvågning, efter sitet er renset

Forløbet er enkelt. Du skifter adgangskoder og ringer til os. Vi renser, lukker hullet og holder vagt i 14 dage.

Du får også at vide, hvordan angriberen kom ind, og hvad du kan gøre for at undgå det fremover.

Ring på 71 99 01 02 (man-fre 9-15) eller skriv til kontakt@magio.dk. Læs mere om hjælp til et hacket site.

Vil du undgå det næste gang, så kig på WebProtect. Det koster 299 kr./md. eller 3.289 kr./år ekskl. moms.

Vi opdaterer 1-2 gange om ugen, tager daglig backup og scanner for malware to gange dagligt. Et helt år koster altså kun lidt mere end én oprydning. Får du brug for hjælp igen, så start på vores side om hackede sites.

Spørgsmål og svar

Hvad skal jeg gøre, hvis min hjemmeside er hacket?

Skift adgangskoderne til WordPress, hosting, FTP og mail, kontakt dit hostingfirma og tjek din egen computer for virus. Slet ikke mistænkelige filer i panik. Find og luk hullet, ellers bliver sitet hacket igen.

Kan et sikkerhedsplugin rense mit hackede site?

Sjældent helt. Scanner-plugins finder ofte de kendte skadelige filer, men ikke altid bagdøren, angriberen kom ind ad. En grundig oprydning kræver gennemgang af filer, database og brugere.

Hvordan bliver et WordPress-site hacket?

Oftest gennem et forældet plugin, et forældet tema eller en svag adgangskode. Derfor er opdateringer og stærke, unikke kodeord det vigtigste forsvar.

Hvad koster det at få renset et hacket WordPress-site hos Magio?

Det koster en fast pris på 2.995 kr. ekskl. moms. Prisen dækker manuel rens, gennemgang af wp-admin, lukning af hullet og 14 dages overvågning bagefter.

Skal jeg skifte adgangskoder igen efter oprydningen?

Ja. WordPress’ egen dokumentation anbefaler at skifte adgangskoderne igen, når sitet er bekræftet rent. Så er du sikker på, at angriberen ikke har opsnappet de nye.