Egyik partnerünk WordPress webshopja látszólag megfelelően működött. Mi viszont észrevettük, hogy fertőzött lett. Partnerünk webshopjának megnyitásakor a számítógép vírusvédelmi szoftvere kártékony tartalomra figyelmeztetett. Maga az oldal továbbra is használható volt.
A WordPress vírusmentesítés során több kártékony fájlt, fertőzött bővítményt és gyanús adminisztrátori hozzáférést is azonosítottunk. A helyreállítás tovább mutat a fertőzött fájlok eltávolításában. A teljes rendszert átvizsgáltuk, rendeztük a hozzáféréseket, és ellenőriztük azokat a háttérfolyamatokat is, amelyek később visszafertőzést okozhattak volna.
A fertőzés ellenére a webshop látszólag megfelelően működött
A saját kártevőkeresésünk eredményeit a Sucuri SiteCheck külső vizsgálata is megerősítette. Ezt követően ellenőriztük az oldal forráskódját és a böngésző által betöltött külső erőforrásokat is.
A vizsgálat során olyan kártékony összetevőket találtunk, amelyek SEO- vagy optimalizáló bővítménynek álcázták magukat. Első ránézésre legitim bővítményeknek tűntek. Azonban a működésük részletesebb ellenőrzése során kiderült, hogy kártékony kódot tartalmaznak.
A webshop tulajdonosai körülbelül egy-két évvel korábban úgy döntöttek, hogy a bővítmények kiválasztását és telepítését saját maguk végzik, minket pedig továbbra is a negyedéves frissítésekkel bíznak meg. Az új bővítmények telepítése így előzetes szakmai egyeztetés nélkül történt.
Idővel számos régi, már nem használt vagy nem támogatott bővítmény halmozódott fel a rendszerben. Több fizetős kiegészítő licence is lejárt, ezért ezekhez nem álltak rendelkezésre a szükséges frissítések. Mindez növelte a biztonsági kockázatokat, a behatolás pontos módját azonban nem sikerült egyértelműen azonosítani.
Az ilyen kockázatok csökkentésében fontos szerepe van a rendszeres, ellenőrzött frissítéseknek. Erről részletesebben a Patch Management szolgáltatásunknál olvashatsz.
Hogyan zajlott a WordPress vírusmentesítés?
A partner webshopja az Athalie prémium tárhelyén működik, ahol napi biztonsági mentéseket készítünk. Ennek köszönhetően több korábbi állapot is rendelkezésünkre állt. Ezekből indulhattunk ki a helyreállítás során.
Sokat beszélünk partnereinken róla, ez az eseti is jól mutatja, hogy milyen fontos a megfelelő tárhelyszolgáltató kiválasztása. A rendszeres biztonsági mentések, a megfelelő szerverkörnyezet és a gyors hibaelhárítás különösen fontosak egy üzleti weboldal vagy webshop működésénél. További előny, ha a webfejlesztést és a tárhely üzemeltetését ugyanaz a csapat végzi. Hiszen probléma esetén közvetlenül hozzáférünk a szükséges rendszerekhez, és nem kell külön szolgáltatók ügyfélszolgálatai között egyeztetni.
Az Athalie-nál ezért a webfejlesztés mellett tárhelyszolgáltatással és üzemeltetéssel is foglalkozunk, így a fejlesztési és szerveroldali problémákat egyaránt kezelni tudjuk.
A helyreállításhoz egy korábbi mentést használtunk kiindulópontként. Ebben lényegesen kevesebb kártékony kód volt, de fertőzésnyomokat itt is találtunk, ezért ezt az állapotot is meg kellett tisztítani.
Eltávolítottuk a gyanús, felesleges és nem támogatott bővítményeket. A WordPress rendszerfájljait, valamint a szükséges bővítmények és sablonok fájljait megbízható forrásból származó, tiszta példányokra cseréltük.
Fertőzés esetén ugyanis egy egyszerű WordPress-frissítés nem feltétlenül elegendő, mivel a kártékony fájlok egy része a frissítés után is a rendszerben maradhat. Súlyosabb esetben a támadók akár a frissítési folyamatot is manipulálhatják, így az sem garantálható, hogy a rendszer valóban megbízható forrásból tölti le az új fájlokat.
Ezért ahol lehetséges volt, a teljes érintett mappát eltávolítottuk, majd a szükséges fájlokat tiszta forrásból újratelepítettük. Így csökkenthető annak a kockázata, hogy a régi fájlok között rejtve maradt kód később ismét problémát okozzon.
Átvizsgáltuk a teljes fájlrendszert és az adatbázist is. Külön ellenőriztük a feltöltések mappáját és az automatikusan betöltődő bővítmények könyvtárát. Az úgynevezett "mu-plugins" mappát. Utóbbiban szintén találtunk kártékony kódot.
A feltört weboldal helyreállítása során a hozzáféréseket is rendeztük. Töröltük a gyanús és szükségtelen felhasználókat, lecseréltük az érintett jelszavakat. Szükség szerint megújítottuk a külső szolgáltatásokhoz használt API-kulcsokat. A korábbi WordPress-bejelentkezéseket is érvénytelenítettük.
A visszafertőzés lehetőségét is vizsgáltuk
A WordPress vírusmentesítés során a kártékony fájlok megtalálása csak az első lépés. Utána fontos azt is ellenőrizni, hogy nem maradt-e a rendszerben olyan rejtett kód vagy automatikus folyamat, amely később újra megfertőzheti a weboldalt. Ellenkező esetben előfordulhat, hogy a webshop néhány nap vagy hét múlva ismét fertőzött lesz.
Ennek érdekében átvizsgáltuk a háttérben automatikusan futó feladatokat. Köztük a WordPress Action Scheduler bejegyzéseit is. Ellenőriztük az átirányítási beállításokat, valamint a fájl- és mappajogosultságokat, hogy kiszűrjük az esetleges további biztonsági kockázatokat.
A vírusmentesítést követően megfigyelés alatt tartottuk a webshopot, és ismételt ellenőrzéseket végeztünk. A megfigyelési időszakban nem észleltünk visszafertőzést.
Mire érdemes figyelni, hogy biztonságban maradjon a webshopod?
Ez az eset is megmutatta, hogy egy weboldal akkor is lehet fertőzött, ha látszólag minden megfelelően működik. Éppen ezért egy biztonsági figyelmeztetést akkor sem érdemes figyelmen kívül hagyni, ha a vásárlók továbbra is gond nélkül használhatják a webshopot.
A rendszeres WordPress-karbantartás része a frissítések elvégzése, a felesleges és elavult bővítmények eltávolítása, valamint az adminisztrátori hozzáférések ellenőrzése. Ha pedig már megtörtént a fertőzés, nem elegendő néhány kártékony fájlt törölni. A teljes érintett rendszert át kell vizsgálni, hogy ne maradjanak rejtett biztonsági kockázatok.
A frissítéseket ugyanakkor körültekintően kell elvégezni, mert az új verziók kompatibilitási problémákat is okozhatnak. Egy korábbi cikkünkben bemutattuk, milyen hibák jelentkezhetnek egy WordPress-frissítés után.
Fertőzésre figyelmeztet a vírusvédelem, vagy felmerült, hogy feltörték a webshopodat? Vedd fel velünk a kapcsolatot, és írd meg, milyen problémát tapasztalsz. Segítünk kivizsgálni a fertőzést, meghatározni a szükséges lépéseket és helyreállítani a weboldal biztonságos működését.
Kapcsolódó munkáink:
Noor Fashion webshop üzemeltetéséről és hibakereséséről szóló referenciánk
