Håndtering av kompromittert WordPress

Begynn med å vurdere om oppryddingen av installasjonen er noe dere eller IT-leverandør kan gjøre selv, eller om en tredjepart med ekspert på jobben bør hyres inn.

Medlemmer av Nasjonalt beksyttelsesprogram kanta kontakt med oss for råd og veildning.

For ekstern hjelp henviser vi til NSMs kvalitetordning.

Mange webhotell har egne guider for håndtering av kompromittert WordPress, de har ofte tips som er spesielt nyttige for det webhotellet og vi anbefaler å sjekke de.

WordPress har også en egen guide her.

Ta den av nett fram til den er renset. Det hindrer at besøkende angripes og videre tap av renommé og gir dere rom til å jobbe.

Nettsidene og databasen bør sikkerhetskopieres før dere begynner å håndtere en kompromittert WordPress.

Med backup kan man prøve å rydde opp på nytt om det første forsøket var mislykket.

Har man direktetilgang til siden kan man kopiere nettsidenfilene.

Bruker man en hostindprovider har de ofte en automatisert backuptjeneste man kan benytte.

• Google Safe Browsing Status
• Sucuri Sitecheck
• VirusTotal
• WPScan

De vil ofte gi et utgangspunkt for å starte undersøkelser.

Merk at siden kan være kompromittert selv om ingen av disse gir resultater.

Se etter ukjent eller uleselig (obfuskert) JavaScript, særlig på nettsider som oppfører seg uvanlig.

Se også etter skript som hentes fra eksterne nettsider.

Sjekk etter nye filer, eller endrede filer. Om man har funnet noe antatt ondsinnet, søk etter andre endringer rundt samme tidspunkt (+/- noen dager). (Se også pkt. 6 her). Merk at det er teoretisk mulig å endre tidspunkt for filopprettinger og endringer. Vi er ikke kjent med at dette gjøres i slike angrep per nå.

Nye plugins kan legges inn slik at de ikke vises i GUI, og man er da avhengig av å oppdage de med å se etter endrede filer.

Om man har automatisk backup på plass kan man sammenligne tidligere status med backup tatt i steg 2 for å se etter endringer.

Forsøk å finne ut akkurat hvilken skadevare eller kampanje som kan ha kompromittert nettsiden. Dette kan gi verdifull informasjon som gjør det mye enklere både å forstå omfanget og rydde opp igjen.

Søkemotorer med deler av koden/navn fra funn er en god plass å starte her.

Vi gjør dette for å finne ut skadevaren gjør spesielle ting vi trenger å ta høyde for.

Finner man ikke noe går man videre til neste steg.

Å stadfeste omtrent når kompromitteringen skjedde kan også gjøre oppryddingen lettere.

Dette gir også en indikasjon på når gamle backups er trygge å bruke.

Metoder her er å se når endringer skjedde i gamle backups, eller bruke verktøy som wwaybackmachineog urlscan for å se om de har oppføringer med og uten skadevare på siden.

Etter kompromittering må alle passord og nøkler byttes. Herunder

• Passord for WordPress-brukere
• Passord for administratorer
• Passord brukt for å logge på server/hostingprovider
• Databasepassord.
• Sjekk applikasjonspassord og reset alle man er usikker på. Se her for hvordan man kan søke og slette.

Dette er et viktig føre-var steg da man som regel ikke vet hva angriper kan ha fått tilgang til.-

Bruk WordPress sitt Command Line Interface (CLI) for å sjekket om det er lagt til nye administratorer.

wp user list --role=administrator

Fjern alle du ikke kjenner til.

Man kan sjekke etter administratorer i GUI, men en del infeksjoner gjemmer opprettede brukere så man ikke kan se de der. Vi anbefaler derfor bruk av WP CLI.

Noen hostingprovidere har egne webgrensesnitt for WP CLI, ellers må man ha kommandolinjetilgnag til siden på et vis. For eksempel gjennom SSH.

Optimalt sett bør dere identifisere hvordan angriperen kom seg inn i første omgang (inngangsvektor). Hvis ikke øker sjansen for at dere blir kompromittert på nytt.

Gode logger er den enkleste måten å identifisere inngangsvektor på. Hvis ikke står dere gjerne foran en mer manuell jobb med å lete etter sannsynlige innveier.

Manglende oppdatering er vangliste vei inn

De vanligste inngangsvektorene i WordPress er at selve installasjonen eller utvidelser som plugins og themes er utdatert og har sårbarheter.

Dette gjelder for andre tilsvarende bloggplattformer også, men det er spesielt utbredt for WordPress.

Etterfulgt av dårlig sikret pålogging

En annen vanlig inngang er at brukerkontoer er satt opp med svake, gjettbare passord, eller at passordet er stjålet fra andre datainnbrudd.

Fellesnevneren for brukerkontoer som inngangsvektor er at multifaktorautentisering (MFA) som regel ikke er i bruk.

Sjekk:

• Hvilken versjon WordPress er på
• Sjekk versjon på alle plugins og themes
• Sjekk at alle kontoer krever MFA for innlogging.

Oppdatering

WordPress støtter autooppdatering. Skru det på.

Det samme gjelder alle themes og plugins.

Flerfaktor

Krev flerfaktor for ALLE administrator- og brukerkontoer.

Backup

Om siden er viktig for dere bør den tas backup av jevnlig. Hvor ofte siden endres på styrer hvor lfte backup bør tas (hver time, hver dag, hver uke, hver måned...). Backup gjør gjennoppretting til kjent ilstand mye enklere. Det sikrer også om en infeksjon resulterer i fullt datatap.

Fjern overflødig

Fjern alle plugins, themes og llignende som ikke er i bruk, dette gir unødvendig stor angrepsflate

Publiser siden og sjekk at den fungerer som forventet.

Gjør ny sjekk etter en dag, og deretter en uke. Angripere vender ofte tilbake.

Om det fortsatt er tegn til infeksjon gå tilbake til pkt1, eller revurder ekstern hjelp.

Om du har havnet på svartelister hos for eksempel McAfee, Fortinet,

Om siden har havnet på en svarteliste, kontakt de som vedlikeholder listen og be om fjernning

Under er en liste over enkelte slike svartelister

• Fortinet
• McAfee
• SURBL
• Google safebrowsing (via Search Console)

Fjerning av søkreresultater gjøres med å reindeksere siden via Googles search console*.

* Search console gir en sikkerhetsoversikt knyttet til nettsiden, og man kan reindeksere søketreff hos Google. Google Search Console krever innlogging hos Google og verifisering av eierskap til domenet.

Er du medlem i Nasjonalt beskyttelsesprogram ønsker vi varsling om du er utsatt for angrep. Også om du fikser helt selv.

Send oss en e-post.