Malware skaneerimine WordPressis: tööriistad ja protsess

Mis on malware veebilehel?

Malware veebilehel = pahatahtlik kood, mis: - Suunab külastajad teistele saitidele - Varastab andmeid (kaardiandmed, paroolid) - Lisab SEO spämmi (Viagra, Casino lingid) - Kasutab serverit krüptoraha kaevandamiseks - Saadab spämmi e-maile

Kuidas malware sisse pääseb?

Sucuri 2024 raport: - 39% – nõrk parool - 28% – aegunud plugin - 22% – aegunud WordPress core - 11% – nõrk hosting

Nakatumise märgid

Visuaalsed - Veidrad reklaamid kuvanevad - Kasutajad kaebavad "leht suunas mind kuhugi" - Mobiilis erinev sisu kui desktop'is - Esileht muudetud

Tehnilised - Search Console hoiatus - Antivirus blokeerib külastajatel - Hosting saatis e-maili ("intsident") - Serveri koormus järsult tõusis - Failide muudatused ilma sinu loata

SEO - Brand otsing näitab "this site may be hacked" - Liiklus langes järsult - Indekseeritud kummalised lehed (`/casino-online.html`)

Skaneerimise tööriistad

Veebi-skannerid (kiire) - [Sucuri SiteCheck](https://sitecheck.sucuri.net/) – tasuta, kiire - [Google Safe Browsing](https://transparencyreport.google.com/safe-browsing/search) – kontrolli, kas Google blokib - [Quttera](https://quttera.com/) – sügavam analüüs - [VirusTotal](https://www.virustotal.com/) – 70+ skannerit korraga

WordPress pluginad - **Wordfence** – populaarseim, tasuta + premium - **Sucuri Security** – professionaalne, tasuta - **iThemes Security** – kompleksne - **MalCare** – cloud-skaneerimine - **WPScan** (Jetpack) – ametlik andmebaas

Server-side - **ImunifyAV** – cPanel'is sageli - **Maldet** (Linux Malware Detect) – serveri tase - **ClamAV** – open-source

Skaneerimise protsess

1. Esmane skan ```bash # Wordfence wp wfconfig set 'highSensitivity' true wp wf scan ```

2. Failide võrdlemine Originaal WP failid vs serveri failid: ```bash wp core verify-checksums wp plugin verify-checksums --all ```

Kõik mismatch'id on kahtlased.

3. Andmebaasi kontroll Otsi: - `wp_options` tabel – kummalised `siteurl` muutused - `wp_users` – tundmatud admin'id - `wp_posts` – peidetud postitused (`post_status = 'draft'` spämmiga)

4. .htaccess kontroll Hackerid lisavad sageli ümbersuunamisi: ```apache RewriteCond %{HTTP_USER_AGENT} (google|bing) [NC] RewriteRule ^.*$ http://evil.com [R,L] ```

5. Wp-config.php kontroll Otsi: - Eval kõnesid - Base64 kodeeritud koodi - Kummalisi `define` ridu

Levinud peidukohad

Failides - `/wp-content/uploads/` – piltide kaustas .php failid - `/wp-content/cache/` – cache hulgas - `wp-includes/` – sügaval coreis - `favicon_*.ico.php` – maskeering

Koodis - Base64 kodeering: `eval(base64_decode("..."))` - Obfuscation: pikad muutujate nimed, hex koodid - Backdoor: `<?php @system($_GET['cmd']); ?>`

Eemaldamise protsess

Vt detailne juhend: Koduleht häkiti – mida teha.

Lühidalt: 1. Backup praeguse oleku (tõendina) 2. Aktiveeri maintenance mode 3. Skanni täielikult 4. Eemalda pahatahtlikud failid 5. Asenda WP core puhastega 6. Puhasta andmebaas 7. Vaheta KÕIK paroolid 8. Aktiveeri 2FA (juhend) 9. Lisa WAF 10. Esita Google'ile uuesti

Pärast puhastamist

Search Console - Security Issues → "Request a review" - Tavaliselt 1–3 päeva - Lisada kirjelduses mida tegid

Monitooring 30 päeva järelvalvet: - Daily skaneerimine - File integrity monitoring - Login attempt logs - Server load monitoring

Vältimine

1. Hooldus regulaarselt – vt WordPress uuendused
2. Tugevad paroolid + paroolihaldur
3. 2FA kõigile adminitele
4. Pluginad ainult ametlikust kataloogist
5. Backup'id off-site
6. Hosting kvaliteetne
7. WAF (Cloudflare, Sucuri)

Kulud

Kokkuvõte

Malware skaneerimine peaks toimuma igapäevaselt automaatselt. Üks päev ootamist = SEO tagajärjed kuude kaupa. Meie haldusepakettides sisaldub igapäevane skaneerimine ja vahetu reageerimine. Küsi pakkumist.

Allikad

• Sucuri Website Security Report
• Wordfence Threat Intel
• Google Search Console Help – Hacked Sites