Eine kompromittierte WordPress-Website macht selten darauf aufmerksam. Der Angreifer will so lange wie möglich unsichtbar bleiben, denn jeder zusätzliche Tag Zugriff ist mehr Gelegenheit, Spam zu versenden, Ihr Hosting zu missbrauchen oder Suchmaschinen-Rankings auf Ihrer Domain aufzubauen. Je früher Sie eine Kompromittierung entdecken, desto weniger Schaden richtet sie an. Hier sind zwölf praktische Warnsignale, die Sie auf jeder WordPress-Website prüfen sollten, die Sie besitzen oder verwalten.
1. Unbekannte Seiten oder Ordner im Stammverzeichnis
WordPress legt seine Dateien in einer bekannten Menge von Ordnern ab. Alles außerhalb von wp-admin, wp-content, wp-includes und den Standard-Core-Dateien im Stammverzeichnis sollte untersucht werden. Ein kürzliches Audit auf der Website einer Agentur in Sydney offenbarte fünf neue Verzeichnisse im Stammverzeichnis, jedes so benannt, dass es echte WordPress-Seiten nachahmt. Die Dateien darin waren der gesamte Angriff. Die Ordner selbst waren der verräterische Hinweis.
2. Dateien mit .php-Endung in wp-content/uploads
Der uploads-Ordner ist für Medien gedacht. PHP sollte dort nicht laufen. Wenn Sie .php-Dateien im uploads-Baum finden, besonders mit seltsamen Namen oder jüngsten Änderungszeiten, behandeln Sie sie als verdächtig, bis das Gegenteil bewiesen ist. Die Ausnahme ist ein kleiner Satz absichtlicher Stub-Dateien, die manche Härtungs-Plugins hinzufügen, um direkten Zugriff zu blockieren. Alles darüber hinaus verdient eine Untersuchung.
3. Neue Administrator-Konten, die Sie nicht angelegt haben
Öffnen Sie Benutzer in Ihrem WordPress-Admin. Sehen Sie sich jedes Konto mit der Administrator-Rolle an. Taucht jemand auf, den Sie nicht kennen, mit einer E-Mail-Adresse auf einer Ihnen unbekannten Domain oder mit einem Registrierungsdatum, das zu keinem Ihnen erinnerlichen Onboarding passt, ist das ein Warnsignal. Angreifer legen häufig ein Backdoor-Administratorkonto an, um selbst nach dem Schließen des ursprünglichen Einstiegspunkts zurückkehren zu können.
4. Einbrüche oder Ausschläge in der Search-Console-Leistung
Die Google Search Console ist das Frühwarnsystem, das die meisten Betreiber ignorieren. Plötzliche Rückgänge bei Impressionen oder Rankings können bedeuten, dass eine manuelle Maßnahme verhängt wurde. Plötzliche Ausschläge bei Impressionen für Suchanfragen, die nichts mit Ihrem Geschäft zu tun haben, können bedeuten, dass Google nun getarnte Inhalte unter Ihrer Domain rankt. So oder so: Gehen Sie der Sache nach.
5. Unbekannte indexierte URLs
In der Search Console listet der Abdeckungsbericht jede URL auf, die Google unter Ihrer Domain indexiert hat. Sehen Sie URLs, die Sie nicht erstellt haben, besonders in Fremdsprachen oder mit ungewöhnlichen Pfaden, ist das ein starkes Zeichen dafür, dass Ihre Domain getarnte Inhalte hostet. Der zuvor erwähnte Fall aus Sydney zeigte sich zuerst in indexierten URLs, die der Betreiber noch nie gesehen hatte.
6. Auffälligkeiten in der Hosting-Rechnung
Ein plötzlicher Sprung bei Bandbreite oder Speicher auf Ihrer Hosting-Rechnung, ohne entsprechende Änderung von Traffic oder Inhalt auf der Website, kann bedeuten, dass der Server für etwas anderes als Ihre Website genutzt wird. Angreifer nutzen kompromittierte WordPress-Websites manchmal, um Phishing-Seiten, Schadsoftware oder Spam-Inhalte zu hosten, und diese Bandbreite taucht in Ihren Nutzungsstatistiken auf.
7. Spam-Kommentare oder -Registrierungen trotz aktiver Filter
Wenn Sie einen Spam-Filter installiert haben, aber trotzdem Spam auftaucht, besonders Kommentare, die automatisch freigegeben werden, oder Benutzerregistrierungen, die Ihre Einstellungen umgehen, hat etwas den normalen WordPress-Ablauf umgangen. Das kann eine Fehlkonfiguration eines Plugins sein, aber auch eine Kompromittierung, die Ihre Schutzmechanismen deaktiviert oder umgangen hat.
8. Veränderte WordPress-Core-Dateien
Die Dateien in wp-admin und wp-includes sind Teil des WordPress-Cores. Betreiber sollten sie niemals bearbeiten, und routinemäßige Updates sollten sie in einem bekannten, einwandfreien Zustand belassen. Ein renommiertes Sicherheits-Plugin wie Wordfence kann Ihre Core-Dateien mit den offiziellen Versionen vergleichen und Ihnen sagen, welche verändert wurden. Jede Änderung, die Sie nicht erklären können, ist ein Warnsignal.
9. Seltsame Einträge in Ihrem Aktivitätsprotokoll
Wenn Ihr Sicherheits-Plugin oder Ihr Hoster ein Aktivitätsprotokoll bereitstellt, lesen Sie es. Anmeldungen aus Ländern, in denen Sie nicht tätig sind, Anmeldungen zu Uhrzeiten, die zu keinem üblichen Muster Ihres Teams passen, Einstellungsänderungen, die Sie nicht vorgenommen haben, Plugins, die außerhalb routinemäßiger Wartungsfenster installiert oder aktiviert werden. Jeder dieser Punkte verdient eine Untersuchung.
10. Unerwartete Weiterleitungen aus den Suchergebnissen
Klicken Sie auf Ihre eigene Website über ein Google-Suchergebnis, idealerweise aus einer frischen Browser-Sitzung oder von einem Mobilgerät. Landen Sie auf einer anderen Domain, auf einer unbekannten Landingpage oder auf einer Seite, die nicht zum angeklickten Titel passt, fängt etwas den Suchverkehr ab. Angreifer schreiben oft Weiterleitungsregeln, die nur für Besucher aus Suchmaschinen auslösen – deshalb sieht dieselbe URL normal aus, wenn Sie sie direkt eingeben.
11. Browser-Warnungen bei Ihrer URL
Chrome, Firefox und Safari zeigen eine rote Warnseite, wenn Google Safe Browsing Ihre Domain als Verbreiter von Schadsoftware oder Phishing markiert hat. Meldet jemand eine solche Warnung auf Ihrer Website, behandeln Sie sie als bestätigte Kompromittierung, bis das Gegenteil bewiesen ist. In der großen Mehrzahl der Fälle ist die Warnung kein Fehlalarm.
12. Kunden, die von seltsamen Inhalten berichten
Manchmal ist der zuverlässigste Melder ein verwirrter Kunde. Meldet sich jemand mit der Frage, warum Ihre Website unzusammenhängende Inhalte zeigt, Produkte bewirbt, die Sie nicht verkaufen, oder in einem unbekannten Formular nach Zugangsdaten fragt, hören Sie genau hin. Kunden sehen die öffentliche Seite Ihrer Website unter Bedingungen, die Sie vielleicht nicht testen.
Was tun, wenn Sie eines dieser Signale entdecken
Erscheint eines dieser Warnsignale, geraten Sie nicht in Panik und versuchen Sie nicht, aufzuräumen, bevor Sie das Ausmaß verstehen. Der wichtigste erste Schritt ist, eine Momentaufnahme des aktuellen Zustands zu erstellen, einschließlich einer vollständigen Sicherung von Dateien und Datenbank, damit ein forensisches Audit sehen kann, was der Angreifer getan hat. Ändern Sie dann alle Zugangsdaten. Beginnen Sie danach mit einer systematischen Bereinigung, idealerweise mit der Hilfe von jemandem, der das schon einmal gemacht hat.
Zu schnelles Aufräumen zerstört die Beweise, die Sie brauchen, um den Einstiegspunkt zu finden. Ohne den Einstiegspunkt zu finden, ist der Angreifer innerhalb weniger Tage zurück.
Brauchen Sie Unterstützung?
Wenn eines dieser Warnsignale auf Ihrer WordPress-Website aufgetaucht ist, kann das Team von Defyn ein forensisches Audit durchführen, den Einstiegspunkt identifizieren und Sie durch eine saubere Wiederherstellung führen. Melden Sie sich, sobald Sie etwas entdecken. Zeit ist entscheidend.
