Maandag t/m vrijdag, 09:00 – 18:00 +31 970 1028 0205 WhatsApp
WebMaintorNederland
+31 970 1028 0205 Gratis websitecheck
Hackherstel · wat wij oplossen

Nep-browserupdate of nep-captcha op uw website

Bezoekers zien op uw site een nep-controle of een nep-update die vraagt een opdracht te plakken. Zo herkent en verwijdert u deze hack.

Een klant stuurt u een schermafbeelding. Op uw website verscheen een venster dat eruitzag als de bekende controle "Bevestig dat u een mens bent". Alleen werd er niet gevraagd om op plaatjes met verkeerslichten te klikken. Er stond: druk op de Windows-toets en R, plak de tekst en druk op Enter. Of er kwam een melding dat Chrome verouderd was, met een knop om de update te downloaden. U ziet zelf niets vreemds als u de site opent.

Een nep-captcha op uw website betekent dat de site gehackt is. De aanvaller gebruikt uw site om uw bezoekers te besmetten. Dat maakt het een van de vervelendste soorten hacks: de schade ligt vooral bij uw klanten. Op deze pagina leest u hoe het werkt, waarom u het zelf vaak niet ziet en wat u nu meteen doet.

  1. 01

    Wat een nep-captcha of nep-update op een gehackte website doet

    De techniek heeft in beveiligingskringen een naam gekregen: ClickFix. De bezoeker krijgt een scherm dat lijkt op een echte controle, bijvoorbeeld die van Cloudflare, of op een melding dat de browser moet worden bijgewerkt. Daarbij staat een instructie om zelf een opdracht te plakken en uit te voeren. Wie dat doet, installeert zonder het te weten schadelijke software op de eigen computer.

    Beveiligingsbedrijf Rapid7 beschreef onlangs een campagne waarbij gehackte WordPress-sites precies zo'n nep-controle van Cloudflare toonden, met als doel software die wachtwoorden en gegevens van cryptowallets steelt. Volgens Rapid7 kwamen de aanvallers onder meer binnen via zwakke beheerderswachtwoorden en niet bijgewerkte thema's en plugins. Ook het Zwitserse nationale cybersecuritycentrum waarschuwt voor deze methode en meldt dat de getroffen websites meestal op WordPress draaien.

    Een echte captcha vraagt nooit om iets in het venster Uitvoeren, in PowerShell of in de Terminal te plakken. Een echte browserupdate komt via de browser zelf, niet via een knop op een willekeurige website.

  2. 02

    Waarom u het zelf niet ziet

    Deze hacks zijn gemaakt om lang onopgemerkt te blijven. De nep-melding verschijnt vaak alleen bij een eerste bezoek, alleen voor Windows- of Mac-gebruikers met een bepaalde browser, of alleen voor bezoekers die via Google binnenkomen. Ingelogde beheerders krijgen hem meestal niet te zien. U opent uw eigen site, alles ziet er normaal uit, en u twijfelt aan de klant die het meldt.

    Neem zo'n melding serieus. Vraag om een schermafbeelding, het tijdstip en de browser. Probeer zelf in een privévenster op een ander apparaat, via een zoekresultaat in Google. Ziet u het dan nog niet, dan betekent dat niet dat het er niet is. Meer over hacks die alleen in bepaalde situaties zichtbaar zijn, leest u in hoe herken ik een gehackte website.

  3. 03

    Waar de code meestal zit

    De nep-melding wordt op uw pagina's gezet via een stukje JavaScript. Dat kan op verschillende plekken staan:

    • in de database, bijvoorbeeld in een instelling die op elke pagina wordt geladen, of in een widget;
    • in een themabestand, zoals header.php of functions.php;
    • in een nep-plugin met een onschuldige naam, soms verborgen in de map mu-plugins;
    • in een extern script dat wordt geladen vanaf een domein dat niets met u te maken heeft.

    Vaak laadt de code op uw site alleen een klein script van elders, en komt de eigenlijke nep-melding van een andere server. Daardoor kan de inhoud van de melding steeds veranderen zonder dat er op uw site iets wijzigt. Opruimen betekent dus: de laadcode vinden en verwijderen, en daarna de ingang vinden waarlangs die code erin kwam.

  4. 04

    Wat u nu zelf al kunt doen

    1. Zet de site tijdelijk in onderhoudsmodus of laat de hostingpartij hem afschermen. Zolang de nep-melding er staat, kunnen bezoekers besmet raken.
    2. Bewaar de schermafbeelding van de klant, met datum en tijd.
    3. Wijzig de wachtwoorden van het hostingpaneel en alle beheerders, vanaf een computer die u vertrouwt. Zet tweestapsverificatie aan.
    4. Bekijk in Search Console of Google al een melding geeft bij Beveiligingsproblemen. Hoe u daarmee omgaat, staat op melding Beveiligingsproblemen in Search Console oplossen.
    5. Laat de klant die de melding zag weten dat hij de opdracht niet moet uitvoeren. Heeft hij het al gedaan, raad hem dan aan zijn computer te laten nakijken en vanaf een ander apparaat zijn wachtwoorden te wijzigen.

    Of en hoe u andere klanten informeert, hangt af van de situatie. Daarover gaat communicatie met klanten na een incident. Gaat het mogelijk om gestolen persoonsgegevens, laat u dan adviseren over een melding bij de Autoriteit Persoonsgegevens.

  5. 05

    Zo verwijdert WebMaintor een nep-captcha van uw site

    Wij schermen de site af en bewaren eerst een kopie van de besmette staat. Daarna zoeken wij de ingevoegde code in de bestanden, de database en de geladen scripts, en verwijderen wij alle achterdeuren en onbekende gebruikers. Wij zoeken uit hoe de aanvaller binnenkwam, dichten die ingang en vernieuwen alle wachtwoorden en beveiligingssleutels. Als Google of uw hostingpartij een waarschuwing heeft afgegeven, handelen wij die af, en daarna houden wij de site in de gaten.

    Wij werken alleen aan WordPress en WooCommerce. Voor spoed zijn wij 24/7 bereikbaar via WhatsApp, telefoon en het spoedformulier. U krijgt na de eerste diagnose een vaste prijs, voordat wij beginnen. Lees meer op website gehackt herstellen of neem nu contact op.

Meer over hackherstel

Andere onderwerpen

Ransomware op website Op uw site staat dat alles versleuteld is en dat u moet betalen. Vaak klopt dat maar half. Zo stelt u vast wat er echt aan de hand is. Meerdere sites besmet Staan er meerdere sites in één hostingaccount, dan springt een besmetting makkelijk over. Waarom u ze tegelijk moet aanpakken, en hoe. Gehackt zonder back-up Geen back-up, of alleen back-ups waar de besmetting al in zit. Dat is lastig, maar zelden het einde van uw website. Dit is er nog mogelijk. Back-up terugzetten na hack Een back-up terugzetten lijkt de snelste weg na een hack. Soms is dat zo, soms haalt u de besmetting gewoon terug. Zo maakt u de afweging. Toegang geven bij herstel Voor het herstel van een gehackte site is toegang nodig. Welke precies, wat u niet hoeft te geven en hoe u gegevens deelt zonder nieuw risico. Spoedhulp bij een hack Website gehackt en het kan niet wachten tot maandag? Wij zijn 24/7 bereikbaar voor spoed en beginnen direct met de diagnose van uw WordPress-site. Alles over hackherstel Terug naar het overzicht
FAQ

Veelgestelde vragen

Is mijn eigen computer ook besmet?

Alleen als u zelf de opdracht uit de nep-melding heeft uitgevoerd. Het bekijken van de pagina is bij deze methode niet het probleem; het plakken en uitvoeren van de opdracht wel. Heeft u dat gedaan, laat de computer dan nakijken voordat u ergens inlogt.

Ik zie de nep-captcha zelf niet. Is mijn site dan wel gehackt?

Het kan. Deze code wordt vaak alleen aan bepaalde bezoekers getoond, bijvoorbeeld bij een eerste bezoek of via Google, en meestal niet aan ingelogde beheerders. Een controle van de bestanden en de database geeft uitsluitsel.

Gebruik ik Cloudflare? Is het dan de schuld van Cloudflare?

Nee. De aanvallers bootsen het uiterlijk van een bekende controle na, zodat het vertrouwd oogt. De nep-melding komt van code die op uw gehackte site is gezet, niet van Cloudflare zelf.

Nu gehackt? Wij helpen direct.

Vraag een gratis websitecheck aan. U ontvangt binnen één werkdag een helder rapport, zonder verplichtingen.

Gratis websitecheck +31 970 1028 0205
Reactie binnen 4 werkuren
WhatsApp