Prvních 24 hodin: Jak vypadá napadený web na platformě WordPress z pohledu majitele
Tichější, než byste čekali
Moderní útok na WordPress se málokdy projeví přímo. Nikdo už vám na domovské stránce nevymění obrázek za lebku; na tom se nedá vydělat. Místo toho se první signál obvykle objeví nepřímo. Zákazník vám napíše, proč ho váš web přesměroval na falešnou stránku pro platbu kurýrovi. Search Console upozorní na bezpečnostní problém. Organická návštěvnost klesá po dobu dvou týdnů, aniž byste našli nějaké vysvětlení. Nebo vám poskytovatel hostingu pozastaví účet a o infekci se dozvíte až z výpadku, který to způsobilo.
Toto ticho je záměrné. Současné infekční kampaně jsou navrženy tak, aby se skrývaly právě před majitelem. Parrot TDS, jedna z největších operací přesměrování provozu posledních let, zobrazuje čisté stránky robotům vyhledávačů, bezpečnostním skenerům a v poslední době i crawlerům pro trénování umělé inteligence, zatímco skutečné lidské návštěvníky přesměrovává na phishingové stránky a falešné obchody. Otevřete svůj vlastní web a vše vypadá v pořádku; totéž hlásí i skener. Mezitím jsou skuteční návštěvníci na vaší doméně okrádáni a první hmatatelný důkaz se obvykle objeví až o několik týdnů později v podobě poklesu v žebříčku.
Jak vypadá první den, když vše jde dobře
Hodiny 0–2. Zastavte krvácení. Režim údržby nebo omezení přístupu na úrovni serveru. Poté přihlašovací údaje: všechny administrátorské účty WordPressu, panel hostingu, SFTP, databáze. Změňte je z počítače, kterému důvěřujete, protože pokud byla hesla odcizena z vašeho vlastního notebooku, jejich obměna z téhož notebooku k ničemu nevede. Hesla aplikací a klíče API se také ruší.
Hodiny 2–6. Než začnete čistit, nejprve se rozhlédněte. Nutkání okamžitě začít mazat podezřelé soubory je silné, ale stojí za to mu hodinu odolat. Nejprve si uchovejte kopii infikovaného stavu – soubory, databázi, protokoly serveru. Právě díky této kopii najdete vstupní bod, a čištění, při kterém se vstupní bod nezjistí, je čištění, které budete za tři týdny opakovat. Poté si prostudujte: časy úprav souborů, administrátorské účty, které nikdo nezná, pluginy, které nikdo neinstaloval, podivné záznamy v cronu a to, co ukazují přístupové protokoly v okolí časových razítek nejstarších změněných souborů.
Hodiny 6–12. Obnovte nebo vyčistěte. Pokud vaše historie záloh sahá až za dobu infekce (proto je důležitá doba uchovávání – viz náš článek o zálohách), je obnovení verze, o které víte, že je čistá, a okamžité uzavření vstupního bodu obvykle rychlejší než zásah do aktivní infekce a následně i spolehlivější. Bez čisté zálohy se z toho stává metodická práce: jádro se přeinstaluje od nuly, každý plugin a šablona se znovu stáhne z původních zdrojů a ručně se projdou nahrané soubory i databáze, aby se našel spustitelný kód tam, kde by neměl být.
Hodiny 12–24. Ta méně atraktivní část. Pokud byl web nahlášen, požádejte o přezkoumání v Search Console. Zkontrolujte, jak spamové stránky ovlivnily váš index, a začněte čistit přítomnost ve vyhledávačích. A pokud mohlo dojít k úniku údajů o zákaznících a obsluhujete uživatele z EU, GDPR vám dává 72 hodin na to, abyste informovali svůj dozorový úřad. Tato lhůta začíná běžet v okamžiku, kdy se o narušení dozvíte, nikoli až po dokončení čištění.
Nepříjemná matematika
Všechno výše uvedené stojí mnohonásobně více, než by stála prevence. Rychlé aktualizace, firewall, externí zálohy s historií, monitorování, které zachytí přesměrování a změny souborů dříve, než si toho všimnou zákazníci. Pokud byste raději nechtěli zjistit, jaké jsou ty první 24 hodin z vnitřní perspektivy, právě tento krátký seznam představuje investici s nejvyšší návratností.
