Hoe komt malware op een WordPress-website terecht?
Een kwetsbare plugin is een mogelijke ingang. Bijvoorbeeld wanneer een verouderde plugin een beveiligingslek bevat waarmee een aanvaller bestanden kan uploaden. Ook gestolen wachtwoorden, onveilige bestandsrechten en achtergebleven testwebsites kunnen een rol spelen.
Een praktijkvoorbeeld is een aanval via extensie voor WooCommerce, waarmee bezoekers een offerte kunnen aanvragen. Via het lek plaatste de aanvaller een verborgen achterdeur op de server. Daarmee kon hij later opnieuw toegang krijgen.
Doordat drie websites binnen hetzelfde hostingaccount onvoldoende van elkaar waren afgeschermd, kon de besmetting zich verspreiden. Er werden honderden achterdeurbestanden geplaatst en een beheerdersaccount aangemaakt dat door schadelijke code uit de gebruikerslijst werd verborgen.
Aanvallers kunnen bovendien andere inhoud aan Google tonen dan aan gewone bezoekers. Met controle over de website kunnen ze ook verificatiebestanden of verificatietags plaatsen om zichzelf als eigenaar in Google Search Console toe te voegen. Daarom controleren we bij een infectie meer dan alleen de zichtbare website.
Waarom malware na verwijdering kan terugkomen
Malware kan verspreid zitten over bestanden, databasevelden en geplande taken. Een achtergebleven script kan verwijderde bestanden opnieuw aanmaken. Een geplande taak kan op een later moment nieuwe schadelijke code ophalen.
Ook in de database kan gecodeerde malware worden opgeslagen. Die voert zichzelf niet automatisch uit: daarvoor is bijvoorbeeld een geïnfecteerd PHP-bestand nodig dat de inhoud ophaalt en verwerkt. Juist die samenwerking tussen onderdelen maakt sommige infecties hardnekkig.
De gevolgen zijn niet voor iedere bezoeker hetzelfde. Schadelijke code kan rekening houden met het apparaat, de herkomst van een bezoek of de vraag of iemand is ingelogd. Daardoor zie jij een normale homepage, terwijl een mobiele bezoeker vanuit Google op een cryptoadvertentie of goksite terechtkomt.
Hoe wij malware bij WordPress oplossen
1. De situatie veiligstellen en de omvang bepalen
We beginnen met een afgeschermde kopie van de bestanden, database en beschikbare logs. Zo kunnen we onderzoeken wat er is gebeurd en wijzigingen gecontroleerd uitvoeren.
Waar nodig isoleren we de website in overleg met de hostingpartij. We controleren ook andere websites, oude installaties en testomgevingen binnen hetzelfde account. Een achtergebleven besmetting kan anders opnieuw problemen veroorzaken.
2. Bestanden en database onderzoeken
Met gespecialiseerde malwaretools zoeken we naar bekende patronen en handtekeningen in de code. We vergelijken WordPress-bestanden, plugins en thema’s waar mogelijk met betrouwbare originele versies.
Een infectie kan uit meerdere onderdelen bestaan die elkaar ondersteunen of opnieuw aanmaken. Voorbeelden die we tijdens een onderzoek kunnen aantreffen:
- Een verborgen script dat bij iedere paginaweergave malware laadt.
- Een nepplugin die zich voordoet als een legitieme uitbreiding.
- WordPress-kernbestanden die zijn vervangen door schadelijke code.
- Een centraal malwarebestand dat de schadelijke acties uitvoert.
- Een verborgen laadscript in het thema.
- Installatiearchieven waarmee de malware opnieuw kan worden geïnstalleerd.
- Een verborgen reservekopie waarmee verwijderde malware kan worden teruggeplaatst.
- Tientallen verborgen database-instellingen waarin schadelijke code is opgeslagen.
- Beheerdersaccounts die bewust uit de gebruikerslijst worden verborgen.
- Geplande taken die onder een onopvallende naam malware activeren.
- Malware die nog actief is in draaiende serverprocessen, ook nadat bestanden zijn verwijderd.
Daarom onderzoeken we de samenhang tussen bestanden, database, accounts en geplande taken. Bij aanwijzingen voor besmette serverprocessen betrekken we ook de hostingpartij.
We gebruiken AI als ondersteuning om verdachte code te doorgronden en verbanden tussen onderdelen te herkennen. Persoonsgegevens en toegangssleutels schermen we daarbij af. Onze technische beoordeling bepaalt welke code daadwerkelijk schadelijk is.
3. De toegang van de aanvaller afsluiten
We onderzoeken via logs en bestandswijzigingen hoe de aanvaller vermoedelijk is binnengekomen. Een kwetsbare plugin werken we bij, vervangen we of verwijderen we als deze niet meer nodig is.
Verdachte IP-adressen kunnen we blokkeren wanneer de logs daar aanleiding toe geven. Dat is een aanvullende maatregel: een aanvaller kan van IP-adres wisselen. Het beveiligingslek zelf moet dus ook worden verholpen.
4. Malware verwijderen en de website herstellen
We verwijderen bevestigde malware en ongewenste accounts, herstellen aangetaste bestanden en ruimen schadelijke database-instellingen en geplande taken op.
Daarbij houden we rekening met maatwerk. Een geïnfecteerd functions.php-bestand kan ook belangrijke websitefunctionaliteit bevatten. Dat bestand volledig verwijderen kan nieuwe problemen veroorzaken.
Na het herstel testen we de website, waaronder formulieren, inloggen en waar van toepassing het bestelproces. Ook controleren we het gedrag op desktop en mobiel, zowel ingelogd als uitgelogd.
5. Beveiliging en monitoring aanscherpen
We richten Wordfence passend in, controleren de firewall en stellen relevante beveiligingsmeldingen in. Bijvoorbeeld voor verdachte inlogpogingen, gewijzigde bestanden en onverwachte beheerdersactiviteiten.
Ook vernieuwen we relevante wachtwoorden voor WordPress, hosting, database en FTP/SFTP. Waar nodig trekken we bestaande sessies en toegangssleutels in. Voor beheerders stellen we tweestapsverificatie in.
We beperken gebruikersrechten tot wat noodzakelijk is en controleren bestandsrechten. Onnodige openbare informatie, zoals een toegankelijke WordPress-readme, kunnen we afschermen. Zulke maatregelen zijn aanvullend: updates, sterke toegangsbeveiliging en het dichten van kwetsbaarheden blijven essentieel.
Wat gebeurt er met je vindbaarheid in Google?
Na een hack controleren we Google Search Console op beveiligingsproblemen, handmatige acties, ongewenste eigenaren en geïndexeerde spampagina’s.
Als Google een probleem heeft gemeld, vragen we na volledige opschoning waar nodig een beoordeling aan. Het herstel van zoekresultaten kan tijd kosten. Een technisch schone website en herstelde Google-posities lopen niet altijd gelijk op.
Hulp nodig bij malware op je WordPress-website?
Zie je vreemde advertenties, ongewenste doorverwijzingen of onbekende beheerders? Mail ons via support@crossmediahouse.nl en beschrijf wat je ziet en sinds wanneer het speelt.
We stemmen vervolgens af hoe je ons veilig toegang geeft tot DirectAdmin of je andere hostingpaneel. Stuur wachtwoorden niet rechtstreeks per e-mail. Vanuit de hostingomgeving kunnen we bestanden, databases en toegangsrechten onderzoeken.
Ons doel is om de infectie zorgvuldig te verwijderen, de ingang af te sluiten en de kans op herhaling te verkleinen. Met onderhoud en monitoring houden we de beveiliging daarna op peil.
