Hackad webbplats: tecken och lösning

01Hur vet jag att webbplatsen är hackad?

Vissa attacker avslöjar sig direkt: angriparens meddelande dyker upp på startsidan eller webbplatsen går inte alls att öppna. De flesta attacker är dock tysta. Angriparen vill inte förstöra webbplatsen utan använda den obemärkt, genom att lägga in spamlänkar, skicka besökare vidare till andra webbplatser eller använda servern för att skicka e-post.

Därför är det viktigt att känna till tecknen. Redan ett av nedanstående är skäl till allvarlig misstanke, och förekommer flera samtidigt har det med stor sannolikhet skett ett intrång.

• En säkerhetsvarning visas i webbläsaren eller i sökresultaten
• Besökare omdirigeras till andra webbplatser, särskilt från mobilen eller när de kommer från Google
• Sidor om produkter, spel eller läkemedel som inte har med din webbplats att göra dyker upp i sökresultaten
• Användare du inte känner igen i adminpanelen eller lösenord som har ändrats
• Nya filer på servern som du inte känner igen, och gamla filer med nytt ändringsdatum
• Varning från webbhotellet om spam-e-post eller hög resursanvändning
• Webbplatsen blir märkbart långsammare eller ger ofta fel

02Att göra den första timmen

I stunden du upptäcker intrånget är målet att begränsa skadan och bevara de spår som behövs för utredningen. Att i panik radera filer gör det svårare att förstå hur attacken gick till och lämnar samma säkerhetshål öppet.

1. Sätt webbplatsen i underhållsläge eller stäng den tillfälligt för besökare
2. Ta en kopia av webbplatsens nuvarande filer och databas och spara den på en separat plats
3. Informera ditt webbhotell och begär serverloggarna (log)
4. Från en ren enhet: byt lösenord till adminpanelen, FTP/SFTP, databasen, webbhotellet och domänkontot
5. Inaktivera administratörskonton som du inte känner igen
6. Om kund- eller kortdata kan ha påverkats, gå igenom anmälningsskyldigheten med din juridiska rådgivare

03Hur kom angreppet in?

Innan du rensar måste du hitta ingången. Annars kommer angriparen tillbaka genom samma dörr inom några dagar. Serverns åtkomstloggar, adminpanelens inloggningshistorik och filernas ändringsdatum ger svaret.

De vanligaste ingångarna är: kända säkerhetshål i föråldrad programvara och komponenter, svaga eller läckta administratörslösenord, osäkra uppladdningsfält för filer, gamla och bortglömda testsidor samt FTP-uppgifter som stulits från en infekterad dator.

find /var/www/site -type f -name '*.php' -mtime -7 -ls

grep -rnE 'eval\(|base64_decode|gzinflate' /var/www/site --include='*.php'

04Rensa skadlig kod

Det finns två vägar för att rensa skadlig kod: att rensa ut de infekterade filerna en och en, eller att bygga upp webbplatsen på nytt från en ren källa. Det senare är nästan alltid säkrare, eftersom angripare ofta lämnar flera bakdörrar och det är svårt att hitta alla för hand.

Återgå till en ren backup

Har du en backup från tiden före attacken som du är säker på är ren, är det den snabbaste lösningen. Men om ingången inte stängs efter återställningen blir webbplatsen hackad igen, så återställningen ska göras tillsammans med uppdatering och lösenordsbyte. Hur du tar regelbundna och testade backuper har vi beskrivit i guiden så tar du backup.

Vad händer om det inte finns någon backup?

Finns ingen ren backup hämtas webbplatsens kod på nytt från en pålitlig källa, och innehåll och bilder kontrolleras och förs över en och en. I databasen måste man också leta efter användare som angriparen lagt till, dolda länkar och skript inbäddade i sidinnehållet. Processen är mödosam men betydligt billigare än en halvdan rensning.

05Ta bort Googles säkerhetsvarning

Google kan visa webbplatser där skadligt innehåll upptäckts med en varning i sökresultaten och i webbläsaren. Varningen får bort största delen av besökarna innan de ens kommer in, så den måste tas bort snabbt när rensningen är klar.

Du kan kontrollera webbplatsens status på Googles statussida för Säker webbsökning. Det underlättar om din webbplats är verifierad i Search Console.

1. Öppna rapporten Säkerhetsproblem i Search Console och gå igenom de upptäckta problemen
2. Bekräfta att de adresser som visas som exempel i rapporten har rensats
3. Skicka en begäran om granskning med en kort beskrivning av dina åtgärder
4. Vänta på resultatet. Granskningstiden varierar med typen av problem
5. Om spamsidor har skapats, se till att dessa adresser returnerar 404 eller 410

06Reparera SEO-skadorna

Angripare lägger ofta in tusentals spamsidor på din webbplats eller placerar dolda länkar i befintliga sidor. Efter rensningen kan spåren finnas kvar i sökresultaten ett tag. Genom att följa indexrapporterna i Search Console kan du se hur de oönskade adresserna försvinner ur indexet.

Skicka in webbplatskartan igen, kontrollera att de viktiga sidorna visas rätt och följ förändringen i organisk trafik under några veckor. Ser du ett bestående fall är det bra att låta en expert granska den tekniska strukturen. Arbetet med SEO och analys fokuserar på att vinna tillbaka den synlighet som gått förlorad.

07Så undviker du att det händer igen

En rensad webbplats blir ett mål igen om vanorna inte ändras. Åtgärderna nedan gör angriparens jobb märkbart svårare.

• Regelbundna uppdateringar av webbplatsens programvara, server och alla komponenter
• Unika lösenord och tvåstegsverifiering i adminpanelen
• Ett eget konto för varje användare, med bara de behörigheter som behövs
• SFTP i stället för FTP och avstängning av oanvända åtkomster
• Kontroll av filtyp och storlek i uppladdningsfält
• Dagliga backuper som lagras utanför webbplatsen och testas
• Ett enkelt varningssystem som övervakar filändringar och drifttid

Behöver man byta infrastruktur?

Om attacken berodde på en svaghet i själva webbhotellsmiljön, eller om leverantören inte erbjuder aktuella säkerhetsåtgärder, kan det vara värt att flytta webbplatsen till en robustare infrastruktur. För en flytt utan avbrott kan du läsa vår guide om flytt av webbhotell. Att liknande åtgärder också hjälper mot attacker som krypterar filer har vi beskrivit i artikeln om ransomware.

08När ska du anlita en expert?

Att ta bort en enkel spamlänk kan webbplatsägaren klara själv. Men på en webbplats som hanterar kund- eller betalningsdata, i ett system som hackats flera gånger eller när du inte hittar ingången sparar du tid och förtroende genom att ta hjälp av en expert.

Särskilt i en e-handelsplattform med beställningar innebär en säkerhetsincident direkt förlorad försäljning och förlorat förtroende. I skräddarsydda mjukvarulösningar går granskning och bestående åtgärd snabbare, eftersom hela koden är känd. För webbplatser i drift kan uppdateringar, backupövervakning och prestandauppföljning kopplas till en regelbunden underhållsrutin inom hastighet och prestanda.