Nettsiden er hacket: tegn og løsning

01Hvordan vet jeg at nettstedet er hacket?

Noen angrep gir seg til kjenne med en gang: angriperens melding dukker opp på forsiden, eller nettstedet åpnes ikke i det hele tatt. De fleste angrep er imidlertid stille. I stedet for å ødelegge nettstedet vil angriperen bruke det uten at det blir oppdaget; han legger inn spam-lenker, sender besøkende videre til andre nettsteder eller bruker serveren til å sende e-post.

Derfor er det viktig å kjenne symptomene. Selv ett av punktene under er en alvorlig grunn til mistanke; hvis flere forekommer samtidig, har det med stor sannsynlighet skjedd et innbrudd.

• Et sikkerhetsvarsel vises i nettleseren eller i søkeresultatene
• Besøkende, særlig fra mobil eller fra Google, blir sendt videre til andre nettsteder
• Produkt-, gamblings- eller medisinsider som ikke har noe med nettstedets navn å gjøre, dukker opp i søkeresultatene
• Ukjente brukere eller endrede passord i administrasjonspanelet
• Nye filer på serveren du ikke kjenner navnet på, og gamle filer med ny dato for siste endring
• Spam-e-post eller varsel om ressursbruk fra vertsleverandøren
• Nettstedet blir tydelig tregere eller gir hyppig feil

02Dette gjør du den første timen

I det øyeblikket du oppdager at du er hacket, er målet å begrense skaden og bevare sporene som trengs for undersøkelsen. Å slette filer i hast gjør det vanskeligere å forstå hvordan angrepet skjedde, og fører til at den samme sårbarheten blir stående åpen.

1. Sett nettstedet i vedlikeholdsmodus, eller steng det midlertidig for besøkende
2. Ta en kopi av filene og databasen slik nettstedet er nå, og oppbevar den et annet sted
3. Informer vertsleverandøren din; be om serverlogger (log)
4. Fra en ren enhet bytter du passordene til administrasjonspanelet, FTP/SFTP, databasen, hostingen og domenekontoen
5. Deaktiver administratorkontoer du ikke kjenner
6. Hvis kunde- eller kortdata kan være berørt, bør du vurdere meldeplikten sammen med juridisk rådgiver

03Hvor kom angrepet fra?

Før du rydder opp, må du finne inngangsveien; ellers kommer angriperen tilbake gjennom den samme døren i løpet av noen dager. Serverens tilgangslogger, påloggingshistorikken i administrasjonspanelet og endringsdatoene på filene gir svaret.

De vanligste inngangsveiene er: kjente sårbarheter i programvare og komponenter som ikke er oppdatert, svake administratorpassord eller passord som er lekket andre steder, usikre områder for filopplasting, gamle og glemte testsider og FTP-opplysninger som er stjålet fra en kompromittert datamaskin.

find /var/www/site -type f -name '*.php' -mtime -7 -ls

grep -rnE 'eval\(|base64_decode|gzinflate' /var/www/site --include='*.php'

04Fjerning av skadelig kode

For å fjerne skadelig kode finnes det to veier: å sortere ut de infiserte filene én etter én, eller å bygge nettstedet opp på nytt fra en ren kilde. Det siste er nesten alltid tryggere, fordi angripere som regel legger igjen flere bakdører, og det er vanskelig å finne dem alle for hånd.

Gå tilbake til en ren sikkerhetskopi

Hvis du har en sikkerhetskopi fra før angrepsdatoen som du er sikker på er ren, er dette den raskeste løsningen. Men hvis inngangsveien ikke lukkes etter at kopien er gjenopprettet, blir nettstedet hacket igjen; derfor må tilbakeføringen gjøres sammen med oppdatering og passordbytte. Hvordan du tar jevnlige og testede sikkerhetskopier, har vi forklart i guiden vår om hvordan ta backup.

Hva hvis du ikke har noen sikkerhetskopi?

Hvis det ikke finnes noen ren sikkerhetskopi, hentes nettstedets kode på nytt fra en pålitelig kilde, og innhold og bilder overføres etter å ha blitt kontrollert én etter én. I databasen må du også lete etter brukere angriperen har lagt til, skjulte lenker og skript som er innebygd i sideinnholdet. Denne prosessen er tidkrevende, men koster langt mindre enn en halvgjort opprydding.

05Fjerne Googles sikkerhetsvarsel

Google kan vise nettsteder der det har oppdaget skadelig innhold, med et varsel i søkeresultatene og i nettleseren. Dette varselet får de fleste besøkende til å snu før de kommer inn på nettstedet, så det må fjernes raskt etter at opprydningen er ferdig.

Du kan kontrollere statusen til nettstedet ditt på siden for Googles status for Safe Browsing. Det gjør prosessen enklere hvis nettstedet ditt er verifisert i Search Console.

1. Åpne rapporten Sikkerhetsproblemer i Search Console og se gjennom problemene som er funnet
2. Bekreft at adressene som er vist som eksempler i rapporten, er ryddet opp
3. Send en forespørsel om vurdering med en kort forklaring av rettingene du har gjort
4. Vent på resultatet; vurderingstiden varierer med typen problem
5. Hvis det er opprettet spam-sider, må du sørge for at disse adressene gir 404 eller 410

06Reparere SEO-skaden

Angripere legger ofte inn tusenvis av spam-sider på nettstedet ditt eller plasserer skjulte lenker på eksisterende sider. Etter opprydningen kan disse sporene fortsatt vises i søkeresultatene en stund. Ved å følge indeksrapportene i Search Console kan du følge med på at uønskede adresser forsvinner fra indeksen.

Send inn områdekartet på nytt, kontroller at de viktige sidene vises riktig, og følg med på endringer i organisk trafikk i noen uker. Hvis du ser et varig fall, er det nyttig at en ekspert går gjennom den tekniske strukturen; arbeidet med SEO og analyse fokuserer på å vinne tilbake synligheten som gikk tapt i prosessen.

07Slik unngår du å oppleve det igjen

Et nettsted som er ryddet opp, blir et mål igjen hvis vanene ikke endres. Tiltakene under gjør jobben tydelig vanskeligere for angriperen.

• Jevnlig oppdatering av nettstedets programvare, serveren og alle komponenter
• Unike passord og tofaktorgodkjenning i administrasjonspanelet
• Egen konto for hver bruker og bare nødvendige rettigheter
• SFTP i stedet for FTP, og stenging av tilganger som ikke brukes
• Kontroll av filtype og størrelse i områder for filopplasting
• Daglige sikkerhetskopier som oppbevares utenfor nettstedet og testes
• Et enkelt varslingssystem som følger med på filendringer og oppetid

Må du bytte plattform?

Hvis angrepet skyldtes en svakhet i selve hostingmiljøet, eller leverandøren ikke tilbyr oppdaterte sikkerhetstiltak, kan det være aktuelt å flytte nettstedet til en mer solid plattform. For en overgang uten avbrudd kan du se guiden vår om flytting av hosting. At lignende tiltak også virker mot angrep som krypterer filer, har vi forklart i artikkelen om løsepengevirus.

08Når bør du hente inn eksperthjelp?

Å fjerne en enkel spam-lenke kan være noe nettstedets eier klarer selv. Men på et nettsted som behandler kunde- eller betalingsdata, i et system som er hacket flere ganger, eller når du ikke finner inngangsveien, reduserer ekspertbistand tapet av tid og omdømme.

Særlig på en nettbutikkplattform som tar imot bestillinger, betyr en sikkerhetshendelse direkte tap av salg og tillit. I programvareløsninger laget spesielt for virksomheten kan gjennomgang og varig retting gjøres raskere, fordi hele koden er kjent. På nettsteder som er i drift kan oppdateringer, overvåking av sikkerhetskopier og ytelsesoppfølging knyttes til en jevn vedlikeholdsrutine innenfor hastighet og ytelse.