Malware verwijderen uit WordPress

Opruimen is het makkelijke deel. Er zijn plugins die het grotendeels voor je doen, en een hoster kan een schone back-up terugzetten. Waar het meestal misgaat is de stap erna, en dat verklaart waarom zoveel gehackte sites twee weken later weer gehackt zijn.

Eerst vastleggen, dan pas opruimen

Maak een kopie van de site en de database zoals hij nu is, vóórdat je iets aanraakt. Dat voelt tegennatuurlijk, want je wilt het weg hebben. Maar zonder die kopie kun je achteraf niet achterhalen wat er gebeurd is, en dus ook niet hoe ze binnenkwamen.

Zet die kopie ergens waar hij niet per ongeluk uitgevoerd kan worden. Het is besmet materiaal.

Opruimen

Kernbestanden terugzetten. WordPress zelf kun je gewoon opnieuw installeren; alles buiten wp-content mag vervangen worden door de originele versie.
Vreemde bestanden weghalen. Let vooral op PHP-bestanden in de uploadsmap. Daar hoort nooit uitvoerbare code te staan.
Plugins en thema's opnieuw installeren in plaats van schoonmaken. Wat je niet meer gebruikt gooi je weg.
De database nakijken op ingevoegde scripts, meestal in de opties of in berichten.

Het gat dichten, en dit is de stap die telt

Ruim je alleen op, dan staat de deur nog open. De vier meest voorkomende ingangen:

Een plugin met een bekend lek, of eentje die uit de directory is gehaald. Dit is verreweg de meest voorkomende.
Een beheerder met een zwak of hergebruikt wachtwoord.
Een verlopen premium plugin die geen beveiligingsupdates meer krijgt omdat de licentie niet meer loopt.
Een tweede site op dezelfde hosting die wél kwetsbaar was. Bij gedeelde hosting kan dat overslaan.

Alle sleutels vervangen. Wachtwoorden van beheerders, de beveiligingssleutels in wp-config.php, je database-wachtwoord, en de API-sleutels van je betaalprovider. Wie binnen is geweest heeft die kunnen meenemen, en een nieuw wachtwoord op een oude sleutel helpt niet.

Weer schoon verklaard worden

Als je site op een blacklist stond of Google hem als onveilig markeerde, moet je dat apart laten opheffen. Dat gaat via Google Search Console, en het duurt dagen tot weken. Hoe eerder je het aanvraagt, hoe eerder je bezoekers weer terugkomen.

Bij een webshop komt er iets bij

Bij een gewone site is de vraag of hij schoon is. Bij een shop is de vraag ook of er met bestellingen of betaalgegevens gerommeld is. Kijk je bestellingen na op de periode dat het speelde, en controleer of er niets is veranderd aan waar je betalingen heen gaan.

Bewaart je shop klantgegevens en is er kans dat die zijn ingezien, dan kan er ook een meldplicht spelen. Dat is geen technische vraag; leg die voor aan iemand die er verstand van heeft.

Wanneer je het niet zelf moet doen

Als je na het opruimen niet kunt zeggen hoe ze binnenkwamen. Dan heb je symptomen behandeld, en dan komt het terug. Bij een webshop komt daar bij dat elk uur stilstand geld kost, en dat zelf uitzoeken vaak duurder is dan het uitbesteden.

Wat wij doen bij een gehackte shop, en wat het ongeveer kost.