Hackad: upptäcka, åtgärda och förebygga

Modul 7: Säkerhet · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du känna igen en hackad webbplats, återställa den i rätt ordning och förhindra att det händer igen.

Nyckelbegrepp: tecken på en hackning, dokumentera, isolera, byta alla lösenord och salts, hitta ingången, loggar, ren säkerhetskopia, ren nyinstallation, kontrollsummor, okända administratörer, PHP i uploads, mu-plugins, Search Console, anmäla dataintrång

Vad en hackning är

En webbplats är hackad om någon utan tillstånd har fått kontroll över (en del av) din webbplats: hen kan ändra filer eller databasen, eller köra kod. Ofta behåller personen tillgången via en bakdörr: en gömd fil eller kodsnutt som gör att hen kan komma tillbaka senare, även om du täpper till det ursprungliga säkerhetshålet.

Det sistnämnda är kärnan i den här lektionen: det räcker inte att bara ta bort den synliga skadan. Så länge bakdörren finns kvar, eller hålet som personen kom in genom är öppet, händer det igen. Ofta inom några dagar.

Att upptäcka det

Tecken (vissa ser du, andra måste du leta efter):

• Google meddelar vid din webbplats "Den här webbplatsen kan vara hackad", eller Search Console rapporterar ett säkerhetsproblem.
• I sökresultaten (site:example.com) finns sidor du inte känner igen, ofta på ett annat språk eller om läkemedel, spel eller falska butiker.
• Besökare omdirigeras, ofta bara om de kommer via Google eller på en mobil. Du ser det inte själv, eftersom du är inloggad eller kommer via ett bokmärke. Testa i ett privat fönster via ett sökresultat.
• Under Användare finns en administratör du inte känner till.
• Det finns PHP-filer i wp-content/uploads, eller filer med konstiga namn i rotmappen eller i wp-content/mu-plugins.
• Ditt webbhotell eller en skadlighetsskanner rapporterar infekterade filer; din e-post avvisas eller ditt paket skickar skräppost.
• Webbplatsen är plötsligt långsam eller ditt lagringsutrymme fylls snabbt.

Stegplanen

1. Håll dig lugn och dokumentera

Släng inte bort allt direkt. Anteckna vad du ser och sedan när, ta skärmbilder och gör en kopia av det aktuella läget (filer och databas, eller en extra säkerhetskopia via ditt webbhotell). Den kopian behöver du för att hitta ingången, och som bevis. Lägg den inte i webbmappen.

2. Stoppa skadan för besökare

Stäng av webbplatsen tillfälligt eller sätt upp en underhållssida, särskilt om besökare omdirigeras till skadlig kod eller nätfiske. I DirectAdmin kan du spärra domänen; på andra håll kan ett lösenord för hela webbplatsen eller en tillfällig index.html med ett meddelande fungera.

3. Byt alla lösenord och nycklar

Utgå från att inkräktaren känner till varje lösenord som fanns på eller nåbart via webbplatsen. Byt, helst från en annan (ren) dator:

• lösenordet till din webbhotellpanel och alla FTP- och SFTP-konton (ta bort konton du inte använder);
• lösenordet till databasanvändaren, och justera det i wp-config.php;
• lösenorden för alla WordPress-administratörer, och ta bort konton du inte känner igen;
• nycklarna och salts i wp-config.php (lektion 1.3). Då upphör alla inloggningscookies att gälla, även inkräktarens;
• applikationslösenord (lektion 3.3) och API-nycklar för kopplingar;
• e-postlösenord, om skräppost skickades via en brevlåda.

Aktivera sedan tvåfaktorsautentisering överallt (lektion 7.3).

4. Hitta ingången

Utan att känna till ingången kan du inte vara säker på att den är stängd. De vanligaste orsakerna (lektion 7.1), och var du tittar:

• Ett föråldrat tillägg eller tema: vilka delar låg efter? Slå upp namnen i en databas över sårbarheter (lektion 5.3).
• Ett läckt lösenord: titta i inloggningshistoriken för din webbhotellpanel och för FTP.
• Webbserverns loggar: sök kring tidpunkten då de första konstiga filerna dök upp efter POST-anrop till okända filer eller till tilläggsfiler, ofta från samma IP-adress.
• Filer efter datum: sortera i Filhanterare eller via SFTP på ändringsdatum. Filer som ändrats samtidigt, särskilt utanför en uppdatering, förtjänar uppmärksamhet.

5. Rensa upp

Två vägar, och ofta en kombination:

A. Återställ en ren säkerhetskopia från innan hackningen (lektion 8.2). Välj en säkerhetskopia från definitivt innan de första tecknen, eftersom inkräktare ibland väntar i veckor. Återställ fullständigt, så att även tillagda filer försvinner. Uppdatera sedan allt direkt (annars finns hålet kvar). Nackdel: allt efter säkerhetskopian (inlägg, beställningar) försvinner.

B. Bygg upp rent på nytt med det befintliga innehållet:

1. Ersätt WordPress självt med en ny kopia från wordpress.org (wp-admin, wp-includes och de enskilda filerna; inte wp-content och wp-config.php). Med WP-CLI kan du först se vad som har ändrats:

wp core verify-checksums
wp plugin verify-checksums --all

Dessa jämför dina filer med de officiella versionerna och rapporterar varje ändrad eller extra fil (den andra endast för tillägg från tilläggskatalogen på wordpress.org).

2. Ta bort alla tillägg och teman och installera om dem från källan, i den senaste versionen. Det du inte behöver kommer inte tillbaka.
3. Kontrollera wp-content/uploads efter PHP-filer och andra filer som inte är media, och wp-content/mu-plugins.
4. Kontrollera .htaccess efter konstiga omdirigeringsregler, och wp-config.php efter rader du inte känner igen.
5. Kontrollera databasen: okända administratörer, inställningarna siteurl, home och active_plugins i wp_options, och sök i inlägg efter inklistrade skript (<script med konstiga adresser).
6. Titta på schemalagda uppgifter: cronjobb i din webbhotellpanel och WP-Cron (med ett tillägg eller wp cron event list).

En skadlighetsskanner (från ditt webbhotell eller ett tillägg) hjälper dig att hitta saker, men lita inte blint på den: det den inte hittar kan ändå finnas kvar.

6. Stäng till och kontrollera

• Uppdatera allt, härda webbplatsen (lektion 7.4) och sätt igång den igen.
• Är din webbplats markerad som osäker av Google? Begär en ny granskning under Säkerhetsproblem i Search Console, men först när allt är rent.
• Håll koll på veckorna efter: nya filer, nya administratörer, meddelanden från din skanner. Kommer det tillbaka har ingången eller en bakdörr ännu inte hittats.

Personuppgifter: anmäla ett dataintrång

Kunde inkräktare komma åt personuppgifter (kunduppgifter från en webbutik, formulärinlämningar, medlemslistor, användarna på din webbplats), rör det sig om ett dataintrång i GDPR:s mening (dataskyddsförordningen). Du måste då anmäla det inom 72 timmar efter att du upptäckte det till Integritetsskyddsmyndigheten (IMY), om det inte är osannolikt att det innebär en risk för de personer det gäller (artikel 33 i GDPR). Är risken hög måste du även informera dessa personer själv (artikel 34). Dokumentera under alla omständigheter vad som hände och vad du gjorde, även om du inte anmäler det. Är du osäker, kontakta Integritetsskyddsmyndigheten (IMY) (lektion 9.3).

Be om hjälp

Att rensa upp efter en hackning tar tid och kräver erfarenhet. Är du osäker på om du har fått bort allt, be om hjälp: din webbyggare, ett specialiserat företag, eller ditt webbhotell (vissa webbhotell, även WebOké, erbjuder det, oftast mot betalning). Ge dem kopian från steg 1, vad du har sett och när, och vad du redan har gjort.

Sammanfattning

• En hackning lämnar ofta kvar en bakdörr; det räcker inte att bara ta bort den synliga skadan.
• Ordning: dokumentera, skydda besökare, byt alla lösenord och salts, hitta ingången, rensa upp, stäng till och kontrollera.
• Du kan rensa upp med en ren säkerhetskopia från gott om tid innan hackningen, eller genom att installera WordPress, tillägg och teman på nytt och gå igenom uploads, mu-plugins, .htaccess och databasen.
• wp core verify-checksums visar vilka filer i WordPress som har ändrats.
• Rörde det personuppgifter, anmäl dataintrånget inom 72 timmar till Integritetsskyddsmyndigheten (IMY) om inte en risk är osannolik.

Quiz

Uppgift

Uppgift D7.5: Din beredskapsplan för en hackning. Fyll i beredskapsplanen för din egen webbplats, så att du slipper fundera ut den när det väl är dags: var finns dina säkerhetskopior och hur långt tillbaka går de, vem har vilka lösenord och hur byter du ut dem alla (lista), var hittar du loggarna för ditt webbhotell, vem ringer du för hjälp, och vilka personuppgifter finns på din webbplats (för frågan om du måste anmäla ett dataintrång). Gör sedan övningen: vilka fem steg tar du under den första timmen om du får meddelandet "Den här webbplatsen kan vara hackad", i vilken ordning, och varför just den ordningen?

Läs mer

Dessa artiklar beskriver stegen i panelerna hos WebOké; i andra paneler fungerar det på liknande sätt.

• DirectAdmin-guide 18.2: Min webbplats är hackad: steg för steg
• Hjälp! Min webbplats har hackats. Hur löser eller förhindrar jag det?
• DirectAdmin-guide 15.11: Imunify360: skanna din webbplats efter skadlig kod
• DirectAdmin-guide 17.2: Webbplatssammanfattning och loggar: felloggen och åtkomstloggen
• DirectAdmin-guide 3.4: Inloggningshistorik: vem loggade in och när?
• Dataintrång (den nederländska dataskyddsmyndigheten, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Vanliga frågor: min webbplats har blivit hackad (wordpress.org, Engelska): https://wordpress.org/documentation/article/faq-my-site-was-hacked/