Amikor már biztosan baj van
A vírusos WordPress oldal ritkán úgy kezdődik, hogy minden látogató ugyanazt látja. Előfordul, hogy csak mobilról irányít át idegen oldalra, csak Google találatból érkezve mutat spamet, vagy csak az adminban jelenik meg ismeretlen felhasználó. A cégvezető sokszor annyit lát, hogy kevesebb ajánlatkérés jön, a böngésző figyelmeztet, vagy egy ügyfél szól, hogy gyanús az oldal.
Ilyenkor a gyors reakció számít, de a kapkodás kárt okozhat. Ha valaki vakon töröl fájlokat, frissít mindent, majd felülírja a mentést, könnyen eltünteti azokat a nyomokat, amelyek alapján kiderülne, hogyan jutott be a fertőzés. A helyreállítás első lépése a helyzet rögzítése és a károk határolása.
Céges oldalon a fertőzésnek több következménye lehet egyszerre. Sérülhet a keresőforgalom, leállhat a hirdetés, spamlistára kerülhet a domain, ügyféladat kerülhet veszélybe, és az ajánlatkérések is eltűnhetnek. A helyreállítás ezért üzletmenet-védelmi feladat, nem puszta technikai takarítás.
Milyen jelei vannak a fertőzött WordPress oldalnak?
A fertőzés nem mindig látványos. Lehet átirányítás, rejtett spam link, ismeretlen PHP fájl, módosított sablon, gyanús cron feladat, új admin fiók, tömeges emailküldés vagy fekete listára kerülő domain. A Google Search Console, a böngészők és a tárhelyszolgáltató is küldhet figyelmeztetést.
Gyakori jel az is, hogy a weboldal tulajdonosa mást lát, mint az ügyfél. Bejelentkezett adminból tisztának tűnik az oldal, inkognitóban vagy mobilról viszont átirányít. Ez azért veszélyes, mert a fertőzés sokszor feltételekhez kötve aktiválódik: keresőből érkező látogatóknál, bizonyos országokból, vagy csak első látogatáskor.
A helyreállításnál ezért több nézőpontból kell ellenőrizni az oldalt. Adminból, kijelentkezett látogatóként, mobilról, keresőtalálatból és közvetlen URL-ről is más tünet jelenhet meg. Ha csak egy nézetben tesztelünk, könnyű tisztának látni egy továbbra is fertőzött oldalt.
A helyreállítás sorrendje dönti el, visszajön-e a fertőzés
A vírusos WordPress helyreállítása több lépésből áll. Először rögzíteni kell a fertőzött állapotot, majd ki kell deríteni, milyen hozzáféréseken, pluginon, sablonon vagy tárhelyszinten juthatott be a támadó. Ezután jöhet a tisztítás vagy visszaállítás, végül a kulcsok és jelszavak cseréje.
A leggyakoribb hiba, hogy valaki kitörli a látható rossz fájlt, de meghagyja az eredeti belépési pontot. Ilyenkor a fertőzés napok vagy órák múlva visszajön. A tartós megoldáshoz a pluginokat, témát, WordPress magot, uploads könyvtárat, adatbázist, admin fiókokat és tárhelyhozzáféréseket együtt kell vizsgálni.
Ha van tiszta mentés, a visszaállítás gyorsíthatja a munkát, de önmagában kevés. A mentés után frissíteni kell a sebezhető komponenst, cserélni kell a jelszavakat és kulcsokat, valamint ellenőrizni kell, hogy a támadó nem hagyott-e hátra külön admin fiókot vagy rejtett belépési pontot.
Bizonyítékmentés
A jelenlegi állapot megőrzése segít később megérteni, honnan indult a fertőzés és mit módosított.
Tiszta visszaállítás
Ha van megbízható mentés, gyorsabb és biztonságosabb lehet tiszta pontról újraindulni, mint kézzel vadászni minden módosított fájlt.
Kulcsrotáció
Admin jelszavak, adatbázis jelszó, SFTP, API kulcs, SMTP hozzáférés és integrációs token is kompromittálódhatott.
Mit kell tisztítani a látható fájlokon túl?
A fertőzött WordPress oldal tisztítása nem állhat meg a plugin könyvtárnál. A támadók gyakran olyan helyre tesznek kódot, ahol később is vissza tudnak térni: `uploads`, `mu-plugins`, módosított theme fájlok, rejtett admin felhasználók, adatbázis opciók, ütemezett feladatok vagy külső JavaScript betöltések.
- WordPress core fájlok, pluginok és sablonok összevetése tiszta forrással.
- Uploads könyvtár és rejtett PHP fájlok ellenőrzése.
- Admin felhasználók, alkalmazásjelszavak és jogosultságok átnézése.
- Adatbázisban lévő spam linkek, redirectek és gyanús opciók keresése.
- SMTP, hírlevélküldő, fizetési, számlázási és űrlapintegrációs hozzáférések rotációja.
- Google Search Console és böngésző figyelmeztetések utóellenőrzése.
A tisztítás végén érdemes újra átnézni az oldal működését látogatói és admin nézetből is. Ajánlatkérő űrlap, emailküldés, fizetés, belépés, keresőtalálatból érkezés és mobilos megjelenés mind külön ellenőrzési pont. A fertőzés gyakran pont az ilyen üzleti útvonalakon okoz kárt.
Mikor érdemes szakembert hívni?
Ha az oldal ügyfélszerzést, hirdetést, fizetést, foglalást vagy céges emailküldést érint, a vírusos WordPress helyreállítása üzleti sürgősség. Szakember kell akkor is, ha a Google figyelmeztetést ad, a tárhelyszolgáltató letiltással fenyeget, ismeretlen admin fiók jelent meg, vagy nem világos, melyik mentés tiszta.
Szakemberre akkor is szükség lehet, ha a fertőzés több rendszert érint. Egy weboldal gyakran kapcsolódik CRM-hez, hírlevélküldőhöz, számlázóhoz, fizetési szolgáltatóhoz vagy céges SMTP fiókhoz. Ha ezek közül bármelyik hozzáférése kiszivárgott, a tisztítás határa már túlmutat a WordPress fájlokon.
Egy jó helyreállítás végén az oldal elindul, és készül egy rövid kép arról is, mi történt, mit kellett cserélni, melyik hozzáférés volt kockázatos, és hogyan csökkenthető a következő fertőzés esélye. Ez különbözteti meg a tüneti törlést a valódi helyreállítástól.
Hogyan segítünk vírusos WordPress helyreállításában?
Az 1data fertőzött WordPress oldalnál először rögzíti az aktuális állapotot, majd átnézi a fájlokat, adatbázist, admin hozzáféréseket, plugineket, sablont, tárhelyhozzáféréseket és mentési pontokat. A cél a tiszta, ellenőrizhető működés visszaállítása és a belépési pont lezárása.
Segítünk tiszta mentésből visszaállni, fertőzött fájlokat cserélni, jelszavakat és kulcsokat rotálni, Search Console figyelmeztetést kezelni, és olyan karbantartási rendet beállítani, amely időben jelzi a következő problémát.
Sürgős esetben a legfontosabb kérdésekkel kezdünk: elérhető-e az oldal, érint-e ügyféladatot, van-e friss mentés, történt-e spamküldés, és milyen hozzáféréseket kell azonnal cserélni. Ebből gyorsan látszik, hogy tisztítás, visszaállítás vagy teljesebb újraépítés a jobb út.
