Kui WordPressi leht saab häkitud ja siis “ära puhastatud”, tundub korraks, et asi on tehtud. Leht avaneb, imelikud suunamised on kadunud, Google ei karju ja klientidele ei paista midagi valesti. Aga siis - nädal hiljem või kuu pärast - on sama jama tagasi.
Ausalt öeldes juhtub seda päris tihti. Mitte sellepärast, et puhastus oleks tingimata täiesti mõttetu olnud, vaid sellepärast, et algpõhjus jäi alles. Nii et kui leht nakatub uuesti, siis probleem ei ole enamasti “halb õnn”, vaid pooleli jäänud töö.
Puhastati sümptom, mitte põhjus
Kõige tavalisem point on lihtne: eemaldati nähtav pahavara, aga sissepääs jäi lahti. Näiteks kustutati pahatahtlik fail ära, kuid vana plugin, nõrk parool või tagauks jäi serverisse alles. Siis tuleb ründaja lihtsalt tagasi. Vaikseelt.
Vaata, häkker ei pea iga kord nullist alustama. Kui tal on juba mingi ligipääs olnud, siis üsna sageli pannakse lehele mitu erinevat “ust” korraga. Üks fail leitakse üles, teine jääb peitu teema kausta, uploads kataloogi või andmebaasi sisse.
- eemaldati ainult nähtav pahavara kood
- tagauks jäi alles mõnda faili või andmebaasi
- admin kasutajaid ei kontrollitud üle
- serveri logisid ei vaadatud
- algset turvaauku ei parandatud
See ongi põhjus, miks “me tegime puhastuse ära” ei tähenda veel, et leht on päriselt turvaline.
Vanad pluginad ja teemad on ikka alles
Asi on selles, et suur osa nakatumisi tuleb vanadest pluginatest või teemadest. Kui sul on leht puhtaks tehtud, aga haavatav plugin on endiselt aktiivne, siis on uks sisuliselt endiselt lahti. Ründajad skännivad internetti automaatselt. Nad ei vali ainult suuri firmasid.
Väikeettevõtte koduleht, ilusalongi broneerimisleht või väike WooCommerce e-pood on neile sama hea sihtmärk. Miks? Sest neid on palju ja neid hooldatakse tihti harva. Kui update on tegemata, siis piisab mõnikord ühest tuntud august.
Kui sa tahad paremini aru saada, miks uuenduste edasi lükkamine halb mõte on, siis loe ka seda artiklit: Miks WordPressi uuendusi ei tohi edasi lükata.
- Kontrolli üle kõik pluginad ja teemad
- Kustuta need, mida sa enam ei kasuta
- Uuenda aktiivsed komponendid viimase versioonini
- Asenda vajadusel maha jäetud pluginad uuemate vastu
- Vaata üle ka WordPressi tuumversioon
Tegelikult on see üks esimesi asju, mis peaks toimuma kohe pärast puhastust, mitte millalgi hiljem.
Tagauks jäi faili või andmebaasi peitu
Mõnikord tehakse puhastus nii, et failid vaadatakse üle, aga andmebaasi mitte. Või vastupidi. Samas pahavara ei ela ainult ühes kohas. See võib olla wp-options tabelis, peidetud admin-kasutajas, cron job’is või failis, mis näeb välja täiesti normaalne.
Praktikas tähendab see seda, et leht võib mõnda aega töötada okei ja siis nakatub uuesti “iseenesest”. Tegelikult ei juhtunud midagi uut - vana pahavara lihtsalt aktiveerus uuesti. Mõni skript ootabki sobivat momenti.
Levinud peidukohad on näiteks:
- wp-content/uploads kaust
- teema functions.php fail
- võlts plugin kaustas, mille nimi tundub normaalne
- andmebaasis olev pahatahtlik JavaScript
- uus admin-konto, mida keegi ei märganud
Üldiselt, kui puhastus ei sisalda kogu setupi läbivaatust, siis jääb risk päris suureks.
Paroolid jäid samaks
See koht ununeb inimestel üllatavalt sageli ära. Kui ründaja sai sisse varastatud või nõrga parooliga, siis ainult failide puhastamisest ei piisa. Kui kasutajanimed ja paroolid jäävad samaks, saab ta uuesti sisse tulla.
Ja mitte ainult WordPressi admini parool. Vahetada tuleb kogu ahel, kui on vähegi kahtlus:
- WordPressi admin-kontod
- hostingu konto
- FTP/SFTP ligipääs
- andmebaasi parool
- Cloudflare või DNS halduse konto
- e-posti konto, mis on taastamiseks seotud
Lühike lause. See on oluline.
Seejuures tasub üle vaadata ka see, kellel üldse ligipääs on. Päris tihti on lehel vanu kasutajaid - endine arendaja, praktikant, agentuur, keegi tuttav. Kui neid enam vaja pole, pane kinni.
Backup oli juba nakatunud
See on eriti tüütu variant. Leht taastatakse backupist, kõik näib korras, aga mõne aja pärast on nakkus tagasi. Miks? Sest backup ise sisaldas juba pahavara. Seda juhtub omajagu.
Backup ei ole automaatselt puhas. Ta on lihtsalt koopia mingist hetkest. Kui koopia tehti pärast nakatumist või siis, kui tagauks oli juba olemas, tood sama probleemi uuesti tagasi.
Mida siis teha?
- Uuri, millal nakkus tõenäoliselt algas
- Võrdle mitut backupi, mitte ainult viimast
- Skänni taastatav versioon enne avalikuks panemist
- Uuenda taastamise järel kohe kõik komponendid
- Vaheta kõik paroolid ka siis, kui backup tundub puhas
Kui sul on juba häkitud lehega tegu, siis mõistlik abi on siin: veebilehe puhastamine ja pahavara eemaldamine. Siis ei pea pimesi proovima, milline fail nüüd jälle jama teeb.
Server või majutus on nõrk või valesti seadistatud
Mitte alati ei ole probleem ainult WordPressis. Vahel on hostingu pool kehv, failide õigused valed või samas serveris olev teine sait on kompromiteeritud. Jah, seda tuleb ette. Eriti odava ja lohaka veebimajutuse puhul.
Kui failidel on liiga laiad õigused või serverisookseb vana PHP versioon, siis on puhastus ainult pool lahendust. Leht võib küll korraks puhas olla, aga keskkond ise aitab järgmisele probleemile kaasa.
Kontrolli vähemalt need asjad üle:
- kas PHP versioon on toetatud
- kas failide õigused on mõistlikud
- kas admin-paneel ja andmebaas on kaitstud
- kas samas serveris on ka teisi kahtlaseid saite
- kas varukoopiad tehakse regulaarselt ja eraldi
Normaalne hooldus tähendabki, et vaadatakse mitte ainult WordPressi, vaid kogu keskkonda.
Pärast puhastust ei pandud seiret peale
See on teine suur põhjus. Leht tehti puhtaks, aga edasi ei jälginud keegi midagi. Kui midagi uuesti juhtub, märgatakse seda alles siis, kui klient ütleb, et “su leht suunab kuhugi kasiinosse” või Google Search Console saadab hoiatuse.
Aga selleks ajaks on kahju juba tehtud. E-pood võib kaotada tellimusi, kontaktivorm ei tööta, SEO saab pihta ja usaldus kukub. Väikeettevõtte jaoks on see valus. Päris valus.
Sellepärast on mõistlik panna paika pidev hooldus ja jälgimine. Kui tahad, et keegi hoiaks uuendustel, backupidel ja turvalisusel silma peal, siis vaata WordPressi hooldusteenust. See on täpselt see koht, kus “üks kord puhastatud” muutub päriselt hallatavaks süsteemiks.
Kuidas aru saada, et nakkus pole tegelikult kadunud?
Mõnikord tundub kõik visuaalselt korras, aga märgid on ikka olemas. Näiteks leht on aeglasem, server saadab imelikke e-kirju või Google indekseerib lehti, mida sa pole ise loonud.
Kui sul on kahtlus, siis vaata üle need sümptomid:
- uued admin-kasutajad ilmuvad ise
- leht suunab vahel edasi, vahel mitte
- hosting saadab pahavara või rämpsposti hoiatuse
- failide muutmise kuupäevad on kahtlased
- Google näitab otsingus võõraid pealkirju
- leht töötab kord normaalselt, kord katki
Kui see kõlab tuttavalt, siis soovitan lugeda ka artiklit 5 märki, et sinu WordPress on juba häkkerite käes. Sealt saad kiiremini pildi ette, mida jälgida.
Mida teha, et sama asi enam ei korduks?
Nii et päris lahendus ei ole ainult puhastus. Lahendus on puhastus + põhjuse leidmine + kaitse peale panek + regulaarne hooldus. Kõlab rohkem, jah, aga muidu maksad sama jama eest mitu korda.
Kui teha see asi korralikult, siis tavaliselt käib töö nii:
- eemaldatakse pahavara ja kontrollitakse tagauksi
- uuendatakse WordPress, pluginad ja teema
- vahetatakse kõik ligipääsud ja paroolid
- kontrollitakse kasutajad, failid, andmebaas ja logid
- parandatakse algne turvaauk
- pannakse peale seire, backup ja regulaarne hooldus
Ausalt öeldes on see väiksema ettevõtte jaoks palju odavam kui uuesti ja uuesti sama jama lahendada. Eriti kui sul on e-pood või koduleht, mis toob päriselt päringuid sisse.
Kui su leht on juba korra puhastatud, aga sisetunne ütleb, et asi ei saanud õieti tehtud, siis ära oota uut probleemi. Kontrolli leht üle, pane hooldus käima ja sul on oluliselt rahulikum olla. See ongi kogu asja point tegelikult.