Sivustoni on hakkeroitu: vaiheittainen ohje

Hakkeroitu sivusto on ikävä tilanne, mutta vakiintuneella toimintamallilla saat sen taas puhtaaksi ja estät saman toistumisen. Tärkeintä: pelkkä varmuuskopion palauttaminen ei riitä. Jos et tiedä, mistä tunkeutuja pääsi sisään, ovi on edelleen auki.

Miten huomaat, että sivustosi on hakkeroitu?

• Kävijät päätyvät toiselle sivustolle, usein vain Googlesta tullessaan tai vain puhelimella.
• Google näyttää sivustollasi tekstin Tämä sivusto on saatettu hakkeroida, tai hakutuloksissa näkyy outoja sivuja domainiltasi.
• Selaimesi tai virustorjuntasi varoittaa omasta sivustostasi.
• WordPressissä on tiedostoja tai ylläpitäjiä, joita et tunnista.
• Saat meiltä ilmoituksen, tai Imunify360 on löytänyt haittaohjelman.
• Postilaatikkosi lähettää roskapostia, tai saavutat yhtäkkiä lähetysrajan (katso Mitä tehdä, jos sähköpostiosoitettasi on väärinkäytetty).

Vaihe 1: pysy rauhallisena ja dokumentoi

Älä heti poista kaikkea. Kirjaa ylös mitä näet ja milloin se alkoi, ja ota kuvakaappauksia. Näitä tietoja tarvitset myöhemmin syyn selvittämiseen, ja niitä tarvitsemme myös me, jos pyydät apua.

Vaihe 2: vaihda kaikki salasanat

Oleta, että tunkeutuja tietää jonkin salasanan. Vaihda ne kaikki, mieluiten toiselta tietokoneelta kuin sillä, jota tavallisesti käytät, siltä varalta että se on saastunut:

1. Oma WebOké salasana. Lisävarmistus kirjautumisessa on siellä aina päällä; jos haluat sähköpostikoodin sijaan käyttää authenticator-sovellusta, aseta se kohdassa Oma hallinto ja Kirjautumistiedot.
2. DA-salasanasi (katso DA-salasanan asettaminen tai vaihtaminen). Tämä koskee myös oletus-FTP-tunnusta.
3. Lisä-FTP-tunnusten salasanat (katso FTP-tilien luominen ja hallinta). Poista tunnukset, joita et enää käytä.
4. Kaikki ylläpitäjät WordPressissä tai muussa CMS-järjestelmässäsi. Poista ylläpitäjät, joita et tunnista.
5. Tietokantakäyttäjän salasana (katso Tietokannan käyttäjät, oikeudet ja salasanat). Muuta se sen jälkeen myös sivustosi asetustiedostoon, kuten wp-config.php.
6. Lähettääkö postilaatikko roskapostia? Vaihda silloin myös se salasana (katso Sähköpostiosoitteen salasanan vaihtaminen).

Ota sen jälkeen DirectAdminissa käyttöön Two-Step Authentication (katso Twee-Staps Authenticatie instellen).

Vaihe 3: skannaa Imunify360:lla

Avaa DirectAdminissa kohdasta Extra Features Imunify360 Plugin. Siellä näet, mitkä tiedostot on todettu saastuneiksi, ja voit käynnistää pakettisi uuden skannauksen. Lue Imunify360: verkkosivuston skannaaminen haittaohjelmien varalta miten tämä toimii ja mitä ilmoitukset tarkoittavat.

Vaihe 4: selvitä, miten tunkeutuja pääsi sisään

Yleisimmät syyt, useimmasta harvinaisimpaan:

1. Vanhentunut ohjelmisto. Vanha versio WordPressistä, lisäosasta tai teemasta, jossa on tunnettu tietoturva-aukko. Tarkista Installatronissa tai WordPressissä, mitkä osat ovat jääneet jälkeen (katso Updates en automatische updates).
2. Epäluotettavasta lähteestä hankittu lisäosa tai teema. Maksullisten lisäosien ilmaiset versiot (nulled) sisältävät usein tarkoituksella takaoven.
3. Vuotanut tai heikko salasana. Tarkista kohdasta Login History, kuka ja milloin kirjautui DirectAdminiin (katso Login History: kuka kirjautui ja milloin?).
4. Saastunut tietokone, johon on tallennettu FTP-salasanoja.

Hyödyllisiä paikkoja tarkistaa:

• Tiedostonhallinnassa lajittele tiedostot muokkauspäivämäärän mukaan. Tiedostot, jotka on muutettu samaan aikaan, erityisesti upload-kansioissa, ansaitsevat huomiota.
• Kohdan Site summary & logs käyttölokista näet, mitä osoitteita kutsutaan paljon, usein POST-pyynnöillä yhteen tiedostoon (katso Site summary & logs: virhelogi ja käyttölogi).

Vaihe 5: puhdista tai palauta puhdas varmuuskopio

Sinulla on kaksi vaihtoehtoa:

• Palauta varmuuskopio ajalta ennen hakkerointia. Oma WebOké Backups palvelussa valitset itse ajankohdan viimeisten 30 päivän ajalta (katso Voiko tämän tehdä myös Mijn WebOké-portaalissa? WebOké Backups). Valitse ajankohta ennen kuin ensimmäiset oudot tiedostot ilmestyivät. Päivitä kaikki heti sen jälkeen (vaihe 6), sillä tietoturva-aukko on myös varmuuskopiossa.
• Puhdista itse. Anna Imunify360:n puhdistaa saastuneet tiedostot, poista tuntemattomat tiedostot ja asenna WordPress ja kaikki lisäosat uudelleen virallisesta lähteestä.

Huomaa: Jos epäröit, valitse WebOké Backups palvelussa ensin Kopiona nykyisen rinnalle. Silloin nykyinen tilanne ei muutu ja voit rauhassa vertailla.

Vaihe 6: päivitä kaikki ja siivoa

• Päivitä WordPress (tai muu CMS-järjestelmä), kaikki lisäosat ja teemat uusimpaan versioon.
• Poista lisäosat ja teemat, joita et käytä. Myös pois käytöstä otetut lisäosat voivat sisältää tietoturva-aukon.
• Poista vanhat kopiot ja testiasennukset alikansioista.
• Käytä ajantasaista PHP-versiota (katso PHP-version valinta (Select PHP version)).

Vaihe 7: jälkihoito

• Näyttääkö Google varoituksen? Pyydä puhdistuksen jälkeen uutta arviointia Google Search Consolessa.
• Onko postilaatikkosi lähettänyt roskapostia? Lue Mitä tehdä, jos sähköpostiosoitettasi on väärinkäytetty ja Lähetys estetty: mustat listat ja rajoitukset.
• Pidä Web Application Firewall päällä (katso Web Application Firewall).
• Tarkista tulevina viikkoina silloin tällöin Imunify360 ja WordPress-ylläpitäjiesi lista.

Tarvitsetko apua?

Etkö pääse eteenpäin, tai onko kyse verkkokaupasta, jolla on asiakastietoja? Tee silloin tiketti ja kerro, mitä olet jo tehnyt (katso Avun pyytäminen: mitä kerrot tuelle?). Jos kyse on henkilötiedoista, saatat joutua ilmoittamaan tietoturvaloukkauksesta Autoriteit Persoonsgegevensille.