Nejdřív popište, co se na webu děje
Bílá stránka nebo nefunkční formulář mohou vzniknout po aktualizaci i při poruše hostingu. Samy o sobě napadení nepotvrzují. Podezření zesiluje nevyžádané přesměrování, cizí obsah, neznámý správce nebo upozornění na škodlivý software. Oficiální postup WordPressu při napadení začíná zachycením konkrétních příznaků a času jejich zjištění.
Zapište adresu postižené stránky, čas včetně časového pásma a okolnosti, například návštěvu z telefonu nebo z vyhledávače. Přidejte snímek obrazovky a poslední známé změny webu. Podezřelé přesměrování zachyťte bez přihlašování na cílové stránce a bez stahování jejích souborů. Správce díky těmto podkladům může prověřit i problém, který se neukazuje při každé návštěvě.
Kontaktujte hosting a omezte další škody
Pošlete podklady správci a podpoře hostingu. WordPress doporučuje zapojit hosting také proto, že problém může zasáhnout další weby ve stejném prostředí. Podpora může pomoci rozlišit napadení od výpadku služby a zpřístupnit provozní záznamy.
Pokud web návštěvníky posílá na škodlivou stránku, požádejte o dočasné omezení veřejného přístupu na úrovni hostingu nebo o bezpečnou náhradní stránku mimo napadenou instalaci. Se správcem domluvte také omezení zneužitého odesílání pošty, pokud ho zjistí. Poznamenejte si čas každého zásahu. Na útočníkem ovládaný WordPress se při ochraně návštěvníků nespoléhejte.
Bez zkušeností nemažte podezřelé soubory naslepo a nespouštějte několik čisticích nástrojů za sebou. Můžete přijít o vlastní obsah i podklady pro zjištění příčiny. Když nemáte správce, začněte podporou hostingu a domluvte odborné prověření rozsahu.
Uchovejte stav webu a prověřte přístupy
Před čištěním má správce podle dostupných možností uchovat kopii souborů, databáze a provozních záznamů. Požádejte hosting o zachování logů dřív, než je při běžné rotaci přepíše. Kopii podezřelého webu označte a uložte mimo veřejný prostor. Může obsahovat škodlivý kód i citlivá data, proto ji neotvírejte jako veřejnou testovací instalaci.
Správce potřebuje prověřit účty WordPressu a jejich oprávnění, přístupy k hostingu i přenosu souborů a související e-mailové účty. Neznámé účty a změny nejprve zaznamená, potom zruší neoprávněné přístupy. Přihlašovací údaje měňte z důvěryhodného zařízení. Dokumentace WordPressu připomíná i kontrolu počítače, ze kterého web spravujete.
Při řešení incidentu správce zneplatní dotčené relace a přístupy, aby samotná změna hesla nenechala útočníka přihlášeného. Po vyčištění hesla změní znovu a podle rozsahu prověří také další tajné údaje a propojené služby. Pro následné zabezpečení přihlášení navazuje článek o MFA a obnově účtů.
Obnovu spojte s odstraněním příčiny
Starší záloha může obsahovat stejnou chybu, zneužitý účet nebo už vložený škodlivý kód. Správce proto musí posoudit její původ a stáří vůči pravděpodobnému začátku incidentu. Samotným přehráním zálohy nezjistí, kudy útočník přišel. Pokud ponechá původní cestu přístupu, útočník může web napadnout znovu.
Podle nálezu správce připraví obnovu z prověřené kopie nebo nové prostředí s důvěryhodnými instalačními balíčky. Zkontroluje také databázi, nahrané soubory, nastavení přesměrování a další weby v dotčeném účtu. Pouhé přepsání známých souborů může ponechat soubory, které přidal útočník. Rozsah čištění proto musí vycházet z prověření konkrétní instalace.
V dokumentaci WordPressu najdete vedle obnovy také aktualizaci a hledání způsobu průniku. Správce má opravit zjištěnou slabinu, odstranit neoprávněné přístupy a zaznamenat, co se mu nepodařilo potvrdit. Když příčinu neurčí, potřebujete znát tuto nejistotu i plán dalšího sledování.
Čistý výsledek skeneru znamená, že daný nástroj v rozsahu své kontroly nic nenašel. WordPress rozlišuje vzdálené skenery a nástroje běžící uvnitř aplikace, které zkoumají různé části webu. Výsledek jednoho skenu proto nestačí k potvrzení vyřešeného incidentu. Ověření musí zahrnout původní příznak, přístupy a kontrolu obnoveného prostředí.
Modelový postup při přesměrování návštěvníků
Modelový příklad: web posílá návštěvníky na cizí stránku
Majitel otevře web z výsledku vyhledávání na telefonu a skončí na cizí nabídce. Při přímém otevření na počítači web funguje. Zatím není jasné, která část prostředí přesměrování způsobuje.
-
Majitel zaznamená původní adresu, čas a způsob návštěvy. Správce s hostingem omezí veřejný přístup a uchová soubory, databázi i dostupné logy před čištěním.
-
V tomto modelovém případě správce najde škodlivý kód v pluginu a neoprávněný účet. Prověří rozsah, odstraní cizí přístupy a zneužitou součást nahradí podporovanou verzí z důvěryhodného zdroje. K obnově použije prověřený obsah a zohlední nové zprávy vzniklé od zálohy.
-
V obnoveném prostředí zopakuje návštěvu z vyhledávání na telefonu i přímý přístup. Ověří další stránky a formuláře, zkontroluje účty a výsledky kontrol. Po obnovení provozu sleduje logy a případné opakování přesměrování.
Co si odnést: Kontrola jen z přihlášeného počítače by původní příznak minula. V příkladu správce spojil obnovu s opravou zneužité součásti a prověřením přístupů.
Co převzít od správce po obnovení webu
Vyžádejte si záznam nálezů, provedených zásahů a kontrol. Má uvádět také použitou zálohu, případnou ztrátu novějších dat a zbývající nejistoty. Domluvte, kdo bude sledovat opakování problému a kdo dořeší upozornění hostingu nebo vyhledávače. Pokud správce zjistí možné odcizení dat, potřebujete posoudit tento dopad samostatně. Zprovozněním stránek ho nevyřešíte.
Pro další provoz si nastavte pravidelnou správu WordPressu a ověřte oddělení záloh a zkoušku obnovy. Začněte tím, co při incidentu chybělo, například dostupným kontaktem, historií kopií nebo kontrolou změn.
Ověřené zdroje
Primární zdroje a jejich vztah k článku byly zkontrolovány .