Maandag t/m vrijdag, 09:00 – 18:00 +31 970 1028 0205 WhatsApp
WebMaintorNederland
+31 970 1028 0205 Gratis websitecheck
Hackherstel · wat wij oplossen

Onbekende beheerders in WordPress: opruimen en uitzoeken hoe ze er kwamen

Een beheerder als 'wpsupport' die niemand kent? Zo ruimt u onbekende admins in WordPress op, vindt u verborgen accounts en zoekt u uit hoe ze binnenkwamen.

U kijkt in WordPress onder Gebruikers en ziet een beheerder die u niet kent. Gebruikersnaam 'wpsupport', of 'admin2', of een naam die verdacht veel lijkt op die van een bekende plugin. Aangemaakt drie weken geleden. Niemand bij u weet wie dat is, en uw webbouwer zegt dat hij het ook niet was. Een onbekende admin in WordPress is een van de duidelijkste signalen dat iemand toegang heeft gekregen die hij niet hoort te hebben.

Het account verwijderen is snel gedaan. Belangrijker is de vraag hoe het er kwam, en of het de enige is. Op deze pagina leest u hoe u dat uitzoekt, waarom sommige beheerders onzichtbaar zijn en wat er na het opruimen moet gebeuren.

  1. 01

    Eerst nagaan: is het echt een indringer?

    Niet elke onbekende beheerder is een aanvaller. Voordat u alarm slaat, loopt u een paar onschuldige verklaringen na:

    • Een vorige webbouwer of een freelancer die jaren geleden een account kreeg.
    • De support van een plugin of uw hostingpartij die tijdelijk toegang kreeg en het account liet staan.
    • Een collega die een tweede account aanmaakte om iets te testen.

    Twijfel? Kijk naar het e-mailadres en de aanmaakdatum. Een adres bij een gratis maildienst met een willekeurige naam, aangemaakt op een moment dat niemand aan de site werkte, is verdacht. Ook oude accounts die wel legitiem waren, horen trouwens weg; zie gebruikers in WordPress opschonen.

  2. 02

    Beheerders die u niet ziet in het overzicht

    Een slimme aanvaller laat zijn account niet zichtbaar staan. Beveiligingsbedrijf Sucuri en de makers van NinjaFirewall hebben code beschreven die het gebruikersoverzicht van WordPress aanpast, zodat een bepaald account er niet in staat. Sommige varianten corrigeren zelfs de tellers bovenaan, zodat het aantal beheerders klopt met wat u ziet. Wie de profielpagina van het verborgen account direct opvraagt, krijgt soms een foutmelding.

    Daarom vertrouwen wij het scherm Gebruikers niet bij een vermoeden van een hack. Wij kijken rechtstreeks in de database naar de tabellen met gebruikers en hun rechten, en vergelijken dat met wat WordPress laat zien. Verschillen die twee, dan staat er ergens code die iets verbergt, meestal in het thema, in een plugin of in de map mu-plugins.

  3. 03

    Hoe een onbekende admin in WordPress terechtkomt

    Het account is het gevolg. De oorzaak zit meestal in een van deze hoeken:

    • Een lek in een plugin of thema waardoor iemand zonder in te loggen een account kon aanmaken of zijn rechten kon verhogen.
    • Een gestolen wachtwoord van een bestaande beheerder, bijvoorbeeld uit een eerder datalek of via malware op een eigen computer die opgeslagen wachtwoorden en inlogsessies uitleest.
    • De instelling voor nieuwe gebruikers. Onder Instellingen, Algemeen staat of iedereen zich mag registreren en met welke standaardrol. Staat registratie aan en is die rol aangepast naar beheerder, dan kan iedereen zich als beheerder aanmelden.
    • Toegang via de hosting, zoals een oud FTP-account, waarmee iemand bestanden kon neerzetten die een account aanmaken.

    De aanmaakdatum van het account helpt om in de logbestanden van de server terug te zoeken wat er rond dat moment gebeurde. Houdt u voortaan bij wie wanneer inlogt, dan wordt dat een stuk makkelijker; zie bijhouden wie er inlogt in WordPress.

  4. 04

    Opruimen zonder iets te vergeten

    Verwijder het account niet als eerste. Leg eerst vast wat het is: gebruikersnaam, mailadres, aanmaakdatum, en welke berichten of pagina's eraan hangen. Bij het verwijderen vraagt WordPress wat er met de inhoud van die gebruiker moet gebeuren. Kijk wat dat is voordat u kiest.

    Daarna is er meer te doen dan het account weghalen:

    • Alle sessies van alle beheerders afsluiten. In het profiel staat daarvoor de knop om overal elders uit te loggen.
    • Applicatiewachtwoorden nalopen. WordPress kent die sinds versie 5.6, en ze werken los van het gewone wachtwoord. Een aanvaller kan er een hebben aangemaakt bij een bestaand account.
    • De beveiligingssleutels in wp-config.php vernieuwen.
    • Controleren wat de aanvaller met zijn rechten heeft gedaan: plugins, bestanden, instellingen, en eventuele andere accounts.

    Kunt u zelf niet meer inloggen omdat de aanvaller u heeft buitengezet, begin dan bij buitengesloten uit uw eigen WordPress.

  5. 05

    Wat u nu zelf al kunt doen

    • Maak een schermafbeelding van het gebruikersoverzicht en van het profiel van de onbekende beheerder.
    • Vraag rond bij collega's, uw vorige webbouwer en uw hostingpartij of iemand het account kent.
    • Wijzig uw eigen wachtwoord vanaf een schone computer en zet tweestapsverificatie aan.
    • Kijk onder Instellingen, Algemeen of "Iedereen kan zich registreren" aanstaat en welke standaardrol er staat.
    • Verwijder niet in paniek een plugin of thema. Het kan de ingang zijn, en dan is het bewijs.
  6. 06

    Zo ruimt WebMaintor onbekende beheerders op

    Wij vergelijken de gebruikers in de database met wat WordPress toont, zoeken code die accounts verbergt, en leggen vast wat elk onbekend account heeft gedaan. Daarna volgt het volledige herstel: opschonen van bestanden, database en gebruikers, de ingang dichten, wachtwoorden en sleutels vernieuwen, sessies en applicatiewachtwoorden intrekken, en nazorg met monitoring.

    U krijgt na de eerste diagnose een vaste prijs, voordat wij beginnen. Wij werken alleen aan WordPress en WooCommerce en zijn voor spoed 24/7 bereikbaar. De volledige aanpak staat op onze pagina over het herstellen van een gehackte website.

Meer over hackherstel

Andere onderwerpen

Malware in de database De bestanden zijn schoon, maar de hack komt terug? Dan zit de malware vaak in de database. Waar hij zich daar verstopt en hoe u hem veilig verwijdert. Steeds opnieuw gehackt Opgeruimd, en een week later weer raak. Zolang de ingang openstaat, komt de besmetting terug. Zo vindt u de echte oorzaak. Website verstuurt spam Uw hostingpartij meldt dat er spam vanaf uw site wordt verstuurd. Zo vindt u het mailscript of lek en stopt u de stroom. Traag door malware Uw site is opeens stroperig of de hosting meldt overbelasting, zonder dat u iets heeft veranderd. Soms zit er malware achter. Zo herkent u dat. Gehackt via plugin-lek Een bekend lek in een plugin is een van de gewoonste ingangen. Bijwerken alleen is niet genoeg: zo herstelt u de schade en dicht u het lek. Nep-captcha of nep-update Bezoekers zien op uw site een nep-controle of een nep-update die vraagt een opdracht te plakken. Zo herkent en verwijdert u deze hack. Alles over hackherstel Terug naar het overzicht
FAQ

Veelgestelde vragen

Is het genoeg om de onbekende beheerder te verwijderen?

Nee. Wie beheerdersrechten had, kan plugins, bestanden en instellingen hebben aangepast en extra accounts hebben gemaakt. Verwijderen zonder te weten hoe het account er kwam, laat de ingang open.

Hoe kan een beheerder onzichtbaar zijn in het overzicht?

Er bestaat kwaadaardige code die het gebruikersoverzicht van WordPress aanpast, zodat een bepaald account er niet in verschijnt. Het account staat dan wel in de database. Daarom controleren wij bij een hack altijd rechtstreeks in de database.

Ik zie een beheerder met de naam van een bekende plugin. Is dat normaal?

Gewone plugins maken zelden een eigen beheerdersaccount aan. Een account met zo'n naam is dus verdacht, zeker als u het niet zelf heeft aangemaakt. Controleer het e-mailadres en de aanmaakdatum.

Nu gehackt? Wij helpen direct.

Vraag een gratis websitecheck aan. U ontvangt binnen één werkdag een helder rapport, zonder verplichtingen.

Gratis websitecheck +31 970 1028 0205
Reactie binnen 4 werkuren
WhatsApp