Usuwanie malware z WordPress: lista kontrolna dla firm

Co to jest

Usuwanie złośliwego oprogramowania to proces identyfikowania i usuwania złośliwego kodu, nieautoryzowanego dostępu i mechanizmów utrwalania (persistence) z instalacji WordPressa i jej środowiska hostingowego, a następnie przywrócenia normalnego, wiarygodnego działania. Obejmuje cztery obszary: system plików (rdzeń, motywy, wtyczki, przesłane pliki i pliki konfiguracyjne), bazę danych (opcje, wpisy, użytkownicy i ewentualne tabele niestandardowe), konto hostingowe (użytkownicy FTP/SFTP, zadania cron, inne strony na tym samym koncie) oraz usługi zewnętrzne (DNS, CDN, poczta e-mail i wpisy w wyszukiwarkach). Prace są zakończone dopiero wtedy, gdy droga wejścia została zidentyfikowana w stopniu, na jaki pozwalają dostępne dowody, i zamknięta; w przeciwnym razie ponowna infekcja jest prawdopodobna.

Dla kogo

Ta lista kontrolna jest przydatna dla:

• Właścicieli stron, którzy przed zleceniem czyszczenia muszą zrozumieć, co ono obejmuje
• Agencji utrzymujących strony klientów, które chcą stosować spójny standard czyszczenia
• Zespołów, których strona była już wcześniej „czyszczona”, ale ponownie została zainfekowana
• Menedżerów, którzy muszą sprawdzić, czy raport dostawcy obejmuje wszystkie istotne warstwy

Co pomaga wyjaśnić

Przejście przez listę kontrolną pomaga wyjaśnić:

• Które części instalacji można zastąpić sprawdzonymi, czystymi kopiami, a które wymagają ręcznego przeglądu
• Czy usunięto mechanizmy utrwalania, takie jak ukryci użytkownicy lub zaplanowane zadania
• Jaki był prawdopodobny punkt wejścia i czy został zamknięty
• Jakie kroki utwardzające powinny nastąpić, aby zmniejszyć ryzyko powtórki

Co jest zawarte

• Przygotowanie: wykonać pełną kopię zapasową obecnego stanu, pozostawić wcześniejsze kopie nienaruszone oraz zapisać datę i godzinę
• Pliki rdzenia: zastąpić rdzeń WordPressa świeżą kopią tej samej wersji z oficjalnego źródła, a po ustabilizowaniu strony zaktualizować do bieżącego wydania
• Wtyczki i motywy: zainstalować ponownie z zaufanych źródeł; usunąć wszystko, co nieużywane, porzucone lub pozyskane z nieoficjalnych źródeł
• Folder przesłanych plików: szukać plików wykonywalnych tam, gdzie powinny znajdować się wyłącznie pliki multimedialne
• Konfiguracja: przejrzeć wp-config.php i pliki konfiguracyjne serwera, takie jak .htaccess, pod kątem wstrzykniętych reguł lub przekierowań
• Baza danych: przeszukać opcje, wpisy i widżety pod kątem wstrzykniętych skryptów lub nieznanych adresów URL
• Użytkownicy: przejrzeć każde konto administratora i redaktora; usunąć nieznane konta i zresetować hasła pozostałych
• Zadania zaplanowane: sprawdzić zdarzenia cron WordPressa oraz zadania cron hostingu pod kątem czegokolwiek nieznanego
• Dane dostępowe: zmienić klucze do hostingu, bazy danych, SFTP i API oraz wygenerować nowe klucze bezpieczeństwa (salts) WordPressa
• Punkt wejścia: zaktualizować lub usunąć podatny komponent, poprawić słabe zabezpieczenia dostępu i skorygować uprawnienia plików
• Weryfikacja: ponownie przeskanować, sprawdzić strony jako zalogowany i anonimowy odwiedzający oraz złożyć prośbę o weryfikację ostrzeżeń wyszukiwarek lub przeglądarek
• Utwardzenie: włączyć MFA dla administratorów, ograniczyć dostęp administracyjny, zaplanować aktualizacje i skonfigurować monitorowanie zmian plików

Co nie jest uwzględnione

• Instrukcji usuwania złośliwego oprogramowania na poziomie poleceń dla nieprzeszkolonych pracowników pracujących na działającej stronie
• Twierdzenia, że skan bez wyników oznacza, iż strona jest czysta
• Rozstrzygnięć prawnych dotyczących zgłaszania naruszeń lub odpowiedzialności
• Stałego monitorowania po czyszczeniu, chyba że zostanie uzgodnione osobno

Kiedy to wybrać

Z tej listy kontrolnej warto korzystać po wykonaniu wstępnych działań ograniczających, gdy mają już Państwo kopię zapasową obecnego stanu i kontrolę nad kluczowymi kontami. Jest ona przydatna także jako lista odbiorcza, gdy dostawca zgłasza zakończenie czyszczenia: warto zapytać, które punkty zostały objęte i co znaleziono. Jeśli dane osobowe klientów, dane płatnicze lub dane logowania mogły zostać ujawnione, należy zaangażować osobę odpowiedzialną za prywatność i obowiązki prawne. Ten artykuł ma charakter informacji ogólnej i nie stanowi porady prawnej.

Nasze podejście

Należy pracować od zewnątrz do wewnątrz i od tego, co sprawdzone, do tego, co nieznane. To, co można zastąpić, należy zastąpić czystymi kopiami, a czas na przegląd poświęcić temu, co jest unikalne dla Państwa strony: niestandardowym motywom, przesłanym plikom i zawartości bazy danych. Każdą zmianę warto zapisywać, ponieważ taki zapis pomaga wyjaśnić incydent interesariuszom i wspiera późniejsze decyzje. Nie należy przywracać normalnego ruchu na stronie, dopóki weryfikacja nie zostanie zakończona, a utwardzenie warto zaplanować jako część prac, a nie coś dodawanego na końcu. Nasza usługa Incident Recovery obejmuje działania ograniczające, usunięcie złośliwego kodu, tylnych drzwi i nieautoryzowanych użytkowników, bezpieczne przywrócenie oraz zamknięcie zidentyfikowanego punktu wejścia, wraz z pisemnym raportem i zaleceniami dotyczącymi utwardzenia. Po rozwiązaniu bieżącego problemu osobno określone prace w zakresie utwardzenia strony mogą objąć szerszą konfigurację, dyscyplinę aktualizacji i kontrolę dostępu. Raport z czyszczenia warto przechowywać wraz z dokumentacją strony; przyda się, jeśli coś podobnego pojawi się ponownie.

Incident Recovery

Często zadawane pytania

Artykuły pokrewne