Så återställer du en hackad WordPress-sajt: steg för steg

Att upptäcka att din WordPress-sajt har hackats är stressande, men en tydlig plan gör det hanterbart. Målet är att begränsa skadan, ta bort den skadliga koden, täppa till hålet som släppte in angriparen och sedan bekräfta att sajten är ren. Att hoppa över det tredje steget är den vanligaste orsaken till att sajter hackas igen inom några dagar.

Tecken på att din sajt kan vara komprometterad

• Besökare omdirigeras till orelaterade eller misstänkta sajter, särskilt på mobil eller från sökresultat.
• Sökresultaten visar skräpsidor på japanska eller om läkemedel under din domän.
• Din webbläsare eller Google varnar för att sajten är farlig.
• Nya administratörskonton som du inte har skapat.
• Ditt webbhotell stänger av kontot eller rapporterar utgående skräppost.
• Filer med slumpmässiga namn, eller nyligen ändrade filer som du inte har rört.

Vissa av dessa har oskyldiga förklaringar, så bekräfta innan du antar det värsta, men agera snabbt om du hittar verkliga bevis.

Omedelbara steg: ta en ögonblicksbild och begränsa

Innan du ändrar något, ta en fullständig kopia av filer och databas, även om den är infekterad. Den bevarar bevis för att reda ut hur angriparen tog sig in och ger dig en reservplan om ett rensningssteg går fel. Lagra den offline och återställ den inte av misstag senare.

Begränsa problemet

Om sajten levererar skadlig kod eller skräppost, sätt upp en enkel underhållssida eller begränsa åtkomsten medan du arbetar. Kontakta ditt webbhotell. De kan ofta se vad som händer på servern och kan hjälpa till att isolera kontot. Byt samtidigt de lösenord som spelar roll: hostingens kontrollpanel, FTP- eller SFTP-konton, databasanvändaren och WordPress-administratörskonton. Gör detta från en ren dator.

Återställ eller rensa

Du har två huvudalternativ.

• Återställ från en ren backup. Om du har en backup från före intrånget är detta oftast snabbast. Återställ, uppdatera sedan allt direkt och åtgärda ingången, annars kommer angriparen tillbaka.
• Rensa manuellt. Om det inte finns någon ren backup måste du ta bort skadliga filer och databasposter för hand eller med skanningsverktyg.

Var försiktig med hur långt bakåt du går. Angripare ligger ibland tysta i flera veckor innan de agerar.

Checklista för manuell rensning

1. Ersätt WordPress kärnfiler med en ny nedladdning av samma eller en nyare version. Låt wp-config.php och wp-content vara tills vidare.
2. Ta bort alla tillägg och teman och installera sedan om dem från pålitliga källor. Släng dem du inte behöver.
3. Inspektera mappen wp-content/uploads. Den ska innehålla media, inte PHP-filer.
4. Kontrollera wp-config.php och .htaccess efter kod du inte känner igen.
5. Granska användare och ta bort okända administratörer.
6. Sök i databasen efter inmatade skript i inlägg, alternativ och widgetar.
7. Generera nya hemliga nycklar och salter i wp-config.php, vilket loggar ut alla.
8. Kontrollera schemalagda uppgifter efter okända poster, eftersom angripare ofta använder dem för att infektera igen.

Hitta ingången och verifiera

Vanliga ingångar är ett föråldrat tillägg eller tema, ett piratkopierat tillägg, ett svagt eller återanvänt lösenord eller en annan komprometterad sajt på samma konto. Kontrollera dina åtkomstloggar efter misstänkta förfrågningar kring tidpunkten för den första ändringen. Uppdatera allt, ta bort det som är övergivet och aktivera tvåfaktorsautentisering. Om du hostar flera sajter på ett konto, kontrollera var och en av dem, eftersom skadlig kod kan sprida sig i sidled.

Verifiera och begär granskningar

Skanna sajten på nytt med en skadeprogramsskanner, surfa på den från olika enheter och kontrollera att omdirigeringarna och skräpsidorna är borta. Om Google eller en webbläsare flaggade sajten, använd Google Search Console för att begära en granskning när du är säker på att den är ren. Kontrollera också att din e-postdomän inte har använts för att skicka skräppost.

Härda så att det inte händer igen

Arbeta dig igenom en härdningslista: håll programvaran uppdaterad, använd roller med minsta möjliga behörighet, begränsa inloggningsförsök, stäng av filredigering i adminpanelen och ha testade backuper utanför servern. Vår checklista för härdning av WordPress-säkerhet går igenom vart och ett av dessa steg. Överväg också en webbapplikationsbrandvägg, som kan blockera många intrångsförsök innan de når WordPress.

Misstag att undvika, och när du ska be om hjälp

• Ta inte bara bort det synliga symptomet och hoppas på det bästa. Bakdörrar göms oftast någon annanstans.
• Installera inte om över de infekterade filerna utan att ta bort de gamla.
• Betala ingen som kontaktar dig utan förvarning och erbjuder sig att fixa din sajt.
• Ignorera inte de andra sajterna på samma hostingkonto.

När du ska be om professionell hjälp

Om sajten är kritisk för din verksamhet, om du hanterar kunddata eller om rensningen misslyckas gång på gång, ta in en proffs. Överväg också om personuppgifter har exponerats. Beroende på var du är verksam kan det finnas anmälningsskyldigheter. Kontrollera vilka regler som gäller för dig eller fråga en kvalificerad rådgivare.

Efter återställningen bör du hålla ett öga på sajten i flera veckor. Titta efter nya filer, oväntade användare och konstig trafik, och spara dina loggar. Nya infektioner dyker oftast upp inom några dagar om en bakdörr missades, så tidig övervakning lönar sig.

Så kan vi hjälpa till

Hosting med Plesk, Cloudflare CDN och kostnadsfritt SSL ger dig en starkare utgångspunkt, och vårt team kan svara på frågor om att återställa och säkra en sajt. Om du behöver en ny, ren start kan vår WordPress-flyttjänst flytta din rensade sajt till WordPress-hosting kostnadsfritt.