Gehackt via een lek in een plugin: herstellen en dichten
Een bekend lek in een plugin is een van de gewoonste ingangen. Bijwerken alleen is niet genoeg: zo herstelt u de schade en dicht u het lek.
De hostingpartij meldt malware, of u ziet zelf vreemde bestanden. Bij het uitzoeken blijkt dat een van uw plugins al maanden niet is bijgewerkt, en dat er voor precies die versie een lek is gepubliceerd. De kans is groot dat u gehackt bent via een plugin-lek. Het is een van de gewoonste manieren waarop WordPress-sites worden besmet, juist omdat het zo goed te automatiseren is.
Wat veel mensen dan doen: de plugin bijwerken en ervan uitgaan dat het klaar is. Dat is begrijpelijk, maar het klopt niet. De update sluit de deur, maar wat er in de tussentijd door die deur naar binnen is gekomen, blijft liggen. Op deze pagina leest u hoe u vaststelt welke plugin de ingang was, wat er daarna moet gebeuren en hoe u voorkomt dat het zich herhaalt.
- 01
Hoe een lek in een plugin leidt tot een hack
Een plugin is code van een andere partij die in uw website draait. Zit daar een fout in, bijvoorbeeld een formulier dat niet controleert wie iets uploadt, dan kan iemand van buiten dingen doen die alleen een beheerder zou mogen. Zodra zo'n lek openbaar wordt, gaan geautomatiseerde scanners op zoek naar sites met de kwetsbare versie. Dat gebeurt op grote schaal, zonder dat iemand uw site specifiek uitkiest.
Daarom maakt het weinig uit of uw site klein of groot is. Wat telt is of de lekke versie erop staat.
- 02
Welke plugin was het lek?
Het is nuttig om dit zeker te weten. Een vermoeden is niet genoeg. Anders dicht u misschien de verkeerde deur.
Versies naast de lekkendatabases leggen
Maak een lijst van alle plugins en thema's met hun versienummer, ook de uitgeschakelde. Leg die naast een openbare kwetsbaarhedendatabase, zoals die van Patchstack, Wordfence of WPScan. Een plugin met een bekend, ernstig lek in de versie die u draait, is een sterke kandidaat. Hoe die informatie tot stand komt, staat in hoe wij kwetsbaarheden in plugins volgen.
De logs erbij pakken
Zoek in de toegangslogs naar verzoeken aan bestanden van die plugin, kort voordat de eerste verdachte bestanden verschenen. Een reeks verzoeken naar een uploadfunctie van een plugin, gevolgd door een nieuw PHP-bestand in de uploadsmap, laat weinig twijfel.
Ook uitgeschakelde plugins tellen mee
Een plugin die is uitgeschakeld maar nog in de map
wp-content/pluginsstaat, kan in sommige gevallen nog steeds worden aangeroepen. Uitschakelen is niet hetzelfde als verwijderen. - 03
Waarom bijwerken alleen niet genoeg is
Stel: een lek in een formulierenplugin is drie weken geleden gepubliceerd. Uw site is in die drie weken gevonden, en de aanvaller heeft een klein bestand in de uploadsmap gezet en een extra beheerder aangemaakt. Vandaag werkt u de plugin bij. Het lek is dicht, maar de aanvaller heeft het lek niet meer nodig. Hij logt in met zijn eigen beheerdersaccount, of roept zijn eigen bestand aan.
Na een hack via een plugin-lek hoort daarom altijd een volledige controle: bestanden vergeleken met de originelen, de database doorzocht, de gebruikerslijst nagelopen, geplande taken bekeken. Gebeurt dat niet, dan is de kans groot dat het terugkomt. Over dat patroon gaat website wordt steeds opnieuw gehackt.
- 04
Bijwerken, vervangen of weggooien
Wat u met de lekke plugin doet, hangt af van de situatie.
- Er is een veilige versie. Werk bij, maar installeer de plugin bij voorkeur opnieuw vanaf de officiële bron, zodat er geen aangepaste bestanden achterblijven.
- Er komt geen update meer. Sommige plugins worden niet meer onderhouden of zijn uit de officiële WordPress-pluginlijst gehaald. Zoek een vervanger. Hoe u zulke plugins herkent, staat in verlaten plugins herkennen.
- Een betaalde plugin zonder geldige licentie. Dan krijgt u vaak geen updates. Verleng de licentie of vervang de plugin.
- Een gekraakte versie van een betaalde plugin. Weggooien. Daar kan de achterdeur al in hebben gezeten.
- U gebruikt de plugin eigenlijk niet. Verwijder hem helemaal.
- 05
Wat u nu zelf al kunt doen
- Maak een schermafbeelding van de pluginlijst met versienummers, voordat u iets bijwerkt. Dat is later het bewijs van welke versie er draaide.
- Vraag de toegangslogs op bij uw hostingpartij en bewaar ze.
- Kijk bij Gebruikers of er beheerders zijn die u niet kent, en noteer ze.
- Wijzig de wachtwoorden van alle beheerders en van het hostingpaneel, vanaf een schone computer.
- Werk de lekke plugin bij of schakel hem uit als er nog geen veilige versie is. Ga er niet van uit dat de site daarmee schoon is.
- 06
Zo herstelt WebMaintor een hack via een plugin-lek
Wij stellen eerst vast welke plugin de ingang was, en bewaren een kopie van de besmette staat. Daarna schonen wij de bestanden, de database en de gebruikers op, en zoeken wij alle achterdeuren die via het lek zijn geplaatst. De plugin wordt bijgewerkt, opnieuw geïnstalleerd of vervangen. Wachtwoorden en beveiligingssleutels worden vernieuwd, en waarschuwingen bij Google, de hostingpartij of blacklists handelen wij af. In de weken erna houden wij de site in de gaten.
Wij werken alleen met WordPress en WooCommerce. Voor spoed zijn wij 24/7 bereikbaar via WhatsApp en telefoon, en u krijgt na de eerste diagnose een vaste prijs, voordat wij beginnen. Meer over de aanpak leest u op website gehackt herstellen. Wilt u daarna dat plugins op tijd worden bijgewerkt, dan past website-onderhoud, vanaf € 45 per maand.
Andere onderwerpen
Veelgestelde vragen
Ik heb de plugin al bijgewerkt. Ben ik nu veilig?
Het lek is dan dicht, maar wat er via dat lek is binnengekomen, kan er nog zijn. Denk aan een extra beheerder of een verborgen bestand. Laat de site daarom ook controleren op achtergebleven malware.
Hoe snel worden lekken in plugins misbruikt?
Dat verschilt per lek. Bij bekende plugins met een ernstig lek begint het misbruik soms kort na de publicatie, omdat het scannen naar kwetsbare sites geautomatiseerd is. Wachten met bijwerken is daarom een risico.
Kan ik een lekke plugin gewoon uitschakelen?
Als tijdelijke maatregel is dat beter dan niets. Maar een uitgeschakelde plugin staat nog op de server, en in sommige gevallen kunnen bestanden ervan nog worden aangeroepen. Verwijderen of bijwerken is veiliger.
Is de maker van de plugin aansprakelijk?
Dat is een juridische vraag die van de licentie en de omstandigheden afhangt. In de praktijk is het bijhouden van updates de taak van wie de website beheert. Laat u bij twijfel adviseren.
Nu gehackt? Wij helpen direct.
Vraag een gratis websitecheck aan. U ontvangt binnen één werkdag een helder rapport, zonder verplichtingen.
Reactie binnen 4 werkuren
- Telefoon+31 970 1028 0205
- WhatsAppStuur ons een bericht
- E-mailinfo@webmaintor.com
- BereikbaarMaandag t/m vrijdag, 09:00 – 18:00