Maandag t/m vrijdag, 09:00 – 18:00 +31 970 1028 0205 WhatsApp
WebMaintorNederland
+31 970 1028 0205 Gratis websitecheck
Hackherstel · wat wij oplossen

Website wordt steeds opnieuw gehackt: de echte oorzaak vinden

Opgeruimd, en een week later weer raak. Zolang de ingang openstaat, komt de besmetting terug. Zo vindt u de echte oorzaak.

U heeft de site laten opschonen, de waarschuwing in Chrome is weg, en u heeft een paar dagen rust. Dan belt een klant: hij wordt weer doorgestuurd naar een casinosite. Of de hostingpartij stuurt op vrijdagavond opnieuw een mail dat er malware in uw account staat. Uw website wordt steeds opnieuw gehackt, en elke keer kost het u geld, tijd en vertrouwen van klanten.

Dat patroon heeft bijna altijd één verklaring: de schoonmaak heeft de gevolgen weggehaald, maar niet de oorzaak. Er is nog iets wat de aanvaller binnenlaat. Op deze pagina leest u waar dat iets meestal zit, hoe u het opspoort en waarom nog een keer scannen het probleem zelden oplost.

  1. 01

    Waarom een website steeds opnieuw gehackt wordt

    Een herinfectie is geen pech. Het betekent dat de aanvaller nog een weg naar binnen heeft. In de praktijk zijn dat er een paar, en vaak meer dan één tegelijk.

    • Een achterdeur die is blijven staan. Een klein PHP-bestand in de uploadsmap, een regel code in het thema, een extra plugin in de map mu-plugins. De zichtbare malware is weg, de sleutel onder de mat ligt er nog. Hoe die eruitzien, leest u in waarom een schone site toch opnieuw gehackt wordt.
    • De oorspronkelijke ingang is nooit gedicht. Een verouderde plugin met een bekend lek, die na het opschonen gewoon weer actief is. Dan komt dezelfde geautomatiseerde aanval een week later opnieuw langs en lukt het weer.
    • Gestolen wachtwoorden zijn niet vervangen. Alleen het WordPress-wachtwoord wijzigen is niet genoeg als de aanvaller ook het hostingpaneel, de FTP-gegevens of de database kent.
    • Een besmette buur. Staat er in hetzelfde hostingaccount nog een oude testsite of een vergeten tweede domein, dan kan de besmetting van daaruit steeds terugkomen.
    • Een besmette back-up teruggezet. De back-up van vorige week leek schoon, maar de achterdeur zat er al in.
  2. 02

    De ingang zit soms buiten de website

    Een oorzaak die vaak over het hoofd wordt gezien: de computer van iemand die inlogt. Infostealers, kwaadaardige programma's die op een laptop wachtwoorden en ingelogde sessies uit de browser halen, maken het een aanvaller makkelijk. Hij logt dan gewoon in, met de gegevens van uw eigen medewerker. Geen lek in WordPress, geen zwak wachtwoord. Wel een probleem dat terugkomt zolang die laptop besmet is.

    Stel: uw site wordt telkens op maandag besmet, en elke keer verschijnt er een nieuwe beheerder met een onschuldige naam als wpsupport. Kijk dan behalve naar de website ook naar wie er op vrijdag of in het weekend heeft ingelogd, en vanaf welk apparaat. Laat in zo'n geval ook de computers van de mensen met beheerrechten controleren.

    Hetzelfde geldt voor oude toegang. Een FTP-account van een webbouwer met wie u drie jaar geleden bent gestopt, een beheerder die nooit is verwijderd, een wachtwoord dat ook bij een gelekte webwinkel werd gebruikt. Elk daarvan kan de herhaalde ingang zijn.

  3. 03

    Hoe u de oorzaak van herinfectie opspoort

    Bij een herhaalde hack is het patroon zelf het belangrijkste bewijs. Hoe meer u vastlegt, hoe sneller de bron gevonden is.

    Het tijdstip

    Wanneer komt de besmetting terug? Steeds na een paar uur wijst eerder op iets wat op de server zelf draait, zoals een achterdeur of een geplande taak die bestanden opnieuw aanmaakt. Na dagen of weken past eerder bij een open lek of gestolen inloggegevens, waarbij de aanvaller opnieuw van buiten binnenkomt.

    De logbestanden

    De toegangslogs van de webserver laten zien welke adressen en bestanden vlak voor de herinfectie werden aangeroepen. Een POST-verzoek naar een vreemd bestand in wp-content/uploads, kort voordat er nieuwe bestanden verschijnen, zegt veel. Hostingpartijen bewaren deze logs vaak maar een beperkte tijd, dus vraag ze op tijd op en gooi niets weg.

    Gewijzigde bestanden

    Vergelijk de WordPress-kernbestanden, plugins en het thema met de originele versies. Alles wat afwijkt en niet door u of uw bouwer is aangepast, verdient aandacht. Let ook op bestanden die er niet horen, zoals een wp-cache.php in de uploadsmap.

    Gebruikers en geplande taken

    Controleer de lijst met beheerders, applicatiewachtwoorden en geplande taken, zowel in WordPress als in het hostingpaneel. Een cronjob die elk uur een bestand van een externe server ophaalt, verklaart een herinfectie binnen een uur.

  4. 04

    Wat u nu zelf al kunt doen

    Een paar dingen kunt u vandaag doen zonder iets kapot te maken.

    1. Schrijf op wanneer u de vorige besmettingen opmerkte, en wat u toen zag. Data en tijden helpen bij het lezen van de logs.
    2. Vraag uw hostingpartij om de toegangslogs van de afgelopen weken, en bewaar ze.
    3. Wijzig wachtwoorden vanaf een computer waarvan u zeker weet dat hij schoon is: hostingpaneel, FTP of SFTP, database en alle WordPress-beheerders. Zet waar het kan tweestapsverificatie aan.
    4. Maak een lijst van iedereen die toegang heeft of had, ook oud-medewerkers en vorige bouwers, en trek toegang in die niet meer nodig is.
    5. Kijk of er in hetzelfde hostingaccount nog andere sites of oude kopieën staan.

    Wat u beter niet doet: opnieuw een scanplugin installeren en op verwijderen klikken. Dat haalt opnieuw de gevolgen weg en laat de ingang open. Wat er na een hack verder dichtgezet moet worden, staat in de site opnieuw dichttimmeren na een hack.

  5. 05

    Zo stopt WebMaintor een terugkerende hack

    Bij een herhaalde besmetting beginnen wij niet met schoonmaken, maar met zoeken. Eerst bewaren wij een kopie van de besmette staat, zodat het bewijs niet verloren gaat. Daarna lezen wij de logs, vergelijken wij alle bestanden met de originelen en doorzoeken wij de database, gebruikers en geplande taken. Pas als duidelijk is hoe de aanvaller steeds terugkomt, schonen wij op en dichten wij die ingang.

    Daarna vernieuwen wij alle wachtwoorden en de beveiligingssleutels van WordPress, handelen wij eventuele waarschuwingen bij Google, de hostingpartij en blacklists af, en houden wij de site in de weken erna in de gaten. Zo ziet u snel of het deze keer echt stil blijft. Een garantie dat u nooit meer gehackt wordt, kan niemand eerlijk geven. Wel kunnen wij de bekende ingang dicht hebben.

    Wij werken alleen aan WordPress-sites en WooCommerce-webshops. U krijgt na de eerste diagnose een vaste prijs, voordat wij beginnen, en voor spoed zijn wij 24/7 bereikbaar via WhatsApp en telefoon. Lees hoe wij werken op website gehackt herstellen, of neem direct contact op. Wilt u daarna dat het bijgehouden blijft, dan past doorlopend onderhoud, vanaf € 45 per maand.

Meer over hackherstel

Andere onderwerpen

Website verstuurt spam Uw hostingpartij meldt dat er spam vanaf uw site wordt verstuurd. Zo vindt u het mailscript of lek en stopt u de stroom. Traag door malware Uw site is opeens stroperig of de hosting meldt overbelasting, zonder dat u iets heeft veranderd. Soms zit er malware achter. Zo herkent u dat. Gehackt via plugin-lek Een bekend lek in een plugin is een van de gewoonste ingangen. Bijwerken alleen is niet genoeg: zo herstelt u de schade en dicht u het lek. Nep-captcha of nep-update Bezoekers zien op uw site een nep-controle of een nep-update die vraagt een opdracht te plakken. Zo herkent en verwijdert u deze hack. Ransomware op website Op uw site staat dat alles versleuteld is en dat u moet betalen. Vaak klopt dat maar half. Zo stelt u vast wat er echt aan de hand is. Meerdere sites besmet Staan er meerdere sites in één hostingaccount, dan springt een besmetting makkelijk over. Waarom u ze tegelijk moet aanpakken, en hoe. Alles over hackherstel Terug naar het overzicht
FAQ

Veelgestelde vragen

Mijn site is al twee keer opgeschoond. Waarom komt het steeds terug?

Meestal is de oorzaak niet gevonden. Er staat nog een achterdeur, een lek in een plugin is niet gedicht, of iemand heeft nog geldige inloggegevens. Opschonen zonder de ingang te dichten is dweilen met de kraan open.

Helpt een beveiligingsplugin tegen herinfectie?

Een goede firewall maakt het een aanvaller moeilijker, maar haalt geen achterdeur weg die er al staat en houdt niemand tegen die met echte inloggegevens binnenkomt. Eerst de oorzaak vinden, dan de beveiliging versterken.

Moet ik de site helemaal opnieuw laten bouwen?

Niet per se. Vaak is een grondige opschoning met het dichten van de ingang genoeg. Bij een site die al lang besmet is of vol staat met verlaten plugins, kan opnieuw opbouwen wel de verstandigste keuze zijn. Dat bespreken wij na de diagnose.

Kan mijn eigen computer de oorzaak zijn?

Dat kan. Programma's die wachtwoorden en browsersessies stelen, geven een aanvaller dezelfde toegang als u. Komt er steeds een nieuwe beheerder bij terwijl er geen lek te vinden is, laat dan ook de computers controleren waarmee wordt ingelogd.

Nu gehackt? Wij helpen direct.

Vraag een gratis websitecheck aan. U ontvangt binnen één werkdag een helder rapport, zonder verplichtingen.

Gratis websitecheck +31 970 1028 0205
Reactie binnen 4 werkuren
WhatsApp