Cum ajunge WordPress-ul compromis – Un website WordPress poate arăta perfect la suprafață, poate avea toate paginile funcționale și poate părea complet normal, în timp ce în spatele lui un atacator poate avea deja acces la anumite funcții ale administrației.

Unul dintre cele mai neplăcute semne ale unei astfel de situații este apariția unor articole pe care proprietarul site-ului nu le-a scris niciodată.

Mai grav, aceste articole pot fi publicate folosind numele unui autor real din site.

Pentru vizitatori pare că acel autor a scris materialul, însă în realitate contul poate fi compromis sau atacatorul poate exploata o vulnerabilitate care îi permite să creeze și să publice conținut.

Cum ajunge un atacator într-un website WordPress? – Cum ajunge WordPress-ul compromis

WordPress este una dintre cele mai utilizate platforme pentru crearea website-urilor, iar popularitatea sa îl face și o țintă frecventă pentru atacuri automate.

De cele mai multe ori, un site nu este atacat manual de cineva care stă și încearcă parole ore întregi.

Există roboți care scanează automat mii sau chiar milioane de website-uri și caută versiuni vulnerabile de WordPress, pluginuri neactualizate, teme cu probleme de securitate sau conturi cu parole slabe.

Un atac poate începe de la o vulnerabilitate aparent banală.

Pluginuri neactualizate – Cum ajunge WordPress-ul compromis

Pluginurile adaugă funcții importante într-un website WordPress, însă fiecare plugin reprezintă și o componentă software care trebuie întreținută.

Dacă un plugin are o vulnerabilitate și dezvoltatorul a lansat o versiune nouă care rezolvă problema, dar site-ul folosește în continuare versiunea veche, atacatorul poate încerca să exploateze acea vulnerabilitate.

Acesta este unul dintre motivele pentru care actualizarea pluginurilor nu trebuie tratată doar ca o operațiune pentru adăugarea unor funcții noi.

Tema WordPress poate reprezenta un risc – Cum ajunge WordPress-ul compromis

Același lucru este valabil pentru tema WordPress.

O temă modificată, abandonată de dezvoltator sau descărcată dintr-o sursă nesigură poate conține vulnerabilități sau chiar cod malițios.

În special în cazul temelor și pluginurilor premium distribuite ilegal, proprietarul site-ului poate să nu știe exact ce cod rulează pe server.

Parolele slabe – Cum ajunge WordPress-ul compromis

O parolă simplă poate transforma securitatea unui website într-o problemă foarte serioasă.

Parole precum numele firmei, numele domeniului, un număr de telefon sau combinații ușor de ghicit nu sunt suficiente pentru protejarea unui cont de administrator.

Atacatorii folosesc baze de date cu parole compromise și sisteme automate care încearcă combinații cunoscute.

De aceea, o parolă unică și lungă este mult mai importantă decât pare.

Conturi vechi

Un alt risc apare atunci când în WordPress există utilizatori care nu mai lucrează pe site, dar conturile lor au rămas active.

Dacă unul dintre aceste conturi are o parolă compromisă, atacatorul poate obține acces la website fără ca proprietarul să observe imediat.

De aceea, conturile care nu mai sunt necesare ar trebui dezactivate sau eliminate, după verificarea conținutului și a permisiunilor lor.

De ce apar articole pe care nu le-ai scris? – Cum ajunge WordPress-ul compromis

Dacă într-un WordPress apar articole necunoscute, una dintre posibilități este compromiterea unui cont care are dreptul de a publica.

Atacatorul nu trebuie neapărat să creeze un utilizator nou.

Dacă reușește să controleze un cont existent cu permisiuni suficiente, poate publica articole folosind acel cont.

În acest caz, în dreptul articolului poate apărea numele unui autor real.

Pentru vizitator, situația pare foarte credibilă: există un autor, există o fotografie, există un nume și există un articol publicat.

În realitate, autorul poate să nu aibă nicio legătură cu materialul respectiv.

De ce folosesc atacatorii numele unui autor existent?

Motivul este simplu: un articol publicat de un utilizator existent poate arăta mult mai normal decât unul publicat de un cont nou și suspect.

De asemenea, anumite atacuri urmăresc obiective SEO.

Atacatorii încearcă să introducă în site articole care conțin expresii, linkuri sau pagini create pentru motoarele de căutare.

Uneori materialele pot promova servicii, produse sau alte website-uri. Alteori conținutul este generat automat și publicat în cantități mari.

În astfel de situații, atacatorul poate fi interesat mai puțin de website-ul în sine și mai mult de reputația, autoritatea și traficul pe care domeniul respectiv le are deja.

Ce este un atac SEO asupra unui website? – Cum ajunge WordPress-ul compromis

Există situații în care un site WordPress compromis începe să publice automat zeci sau sute de pagini.

Aceste pagini pot fi greu de observat imediat.

Unele nu apar în meniul site-ului și pot fi accesate doar printr-un link direct.

Altele pot fi generate cu titluri care par normale, dar conțin linkuri către alte domenii.

Scopul poate fi obținerea unor linkuri sau încercarea de a folosi autoritatea domeniului compromis pentru promovarea altor pagini.

Acest tip de problemă este uneori numit „SEO spam”.

Cum îți dai seama că website-ul a fost compromis? – Cum ajunge WordPress-ul compromis

Există mai multe semne care ar trebui investigate.

Unul dintre cele mai evidente este apariția unor articole pe care nimeni din echipă nu le-a publicat.

Dar pot apărea și alte indicii:

• utilizatori WordPress necunoscuți;
• modificări inexplicabile ale articolelor;
• pagini noi care nu au fost create de administrator;
• linkuri externe introduse în conținut;
• redirecționări către alte website-uri;
• modificări ale fișierelor WordPress;
• pluginuri necunoscute;
• cod PHP introdus în fișiere;
• modificări ale setărilor;
• notificări de autentificare suspecte;
• trafic neobișnuit;
• pagini indexate în Google pe care nu le recunoști.

Un singur semn nu demonstrează întotdeauna că site-ul a fost spart, dar mai multe astfel de semne împreună merită investigate.

Un articol suspect nu înseamnă întotdeauna că WordPress a fost spart

Este importantă și verificarea istoricului.

Uneori un articol poate fi publicat accidental de un utilizator care are acces la WordPress.

Alteori poate exista un plugin care creează automat conținut.

Pot exista și integrări externe, API-uri sau automatizări care au dreptul să creeze articole.

De aceea, înainte de ștergerea tuturor utilizatorilor sau modificarea fișierelor, trebuie identificată sursa publicării.

Verifică utilizatorii WordPress

Primul lucru de verificat este lista utilizatorilor.

Intră în zona de administrare WordPress și verifică dacă există conturi pe care nu le recunoști.

Apoi verifică rolurile.

Un utilizator Administrator are acces la aproape toate funcțiile importante ale site-ului, în timp ce rolurile precum Editor, Autor sau Contributor au permisiuni diferite.

Dacă apare un utilizator necunoscut cu drepturi de Administrator, situația trebuie tratată cu seriozitate.

Nu este recomandată simpla ștergere a contului înainte de a păstra informațiile necesare pentru investigarea incidentului.

Verifică cine a publicat articolele

Pentru articolele suspecte, verifică autorul și data publicării.

Dacă toate articolele suspecte au fost publicate de același utilizator, acest lucru poate reprezenta un indiciu important.

Verifică și dacă utilizatorul respectiv s-a autentificat în perioada în care au fost publicate articolele.

În funcție de configurația serverului și de instrumentele disponibile, pot exista loguri care arată adresa IP, ora accesării și alte informații despre autentificare.

Schimbarea parolei este importantă, dar nu întotdeauna suficientă

Dacă suspectezi că un cont a fost compromis, schimbarea parolei este un pas important.

Totuși, dacă atacatorul a introdus deja cod malițios sau a creat o altă metodă de acces, schimbarea parolei nu rezolvă neapărat problema.

De aceea, după un incident trebuie verificat întregul website, nu doar contul utilizatorului.

Trebuie analizate WordPress, pluginurile, tema, fișierele și baza de date.

Nu uita de hosting

Securitatea WordPress nu începe și nu se termină în wp-admin.

Website-ul rulează pe un server, iar accesul la hosting este la fel de important.

Dacă un atacator obține acces la panoul de hosting, FTP, SFTP, SSH sau alte servicii asociate, poate modifica fișierele website-ului chiar dacă parola WordPress este schimbată.

De aceea, într-o investigație trebuie verificate și conturile de hosting.

De ce atacatorii nu șterg pur și simplu site-ul?

Pentru că un website funcțional poate fi mult mai valoros pentru un atacator.

Dacă site-ul are vechime, conținut, backlinkuri, trafic și reputație în motoarele de căutare, domeniul poate fi folosit pentru alte scopuri.

Atacatorul poate încerca să rămână ascuns și să folosească resursele site-ului cât mai mult timp.

De aceea, uneori atacurile sunt foarte discrete.

Site-ul continuă să funcționeze aparent normal, însă în fundal sunt create pagini, utilizatori sau linkuri.

Cum poți preveni astfel de probleme?

Securitatea WordPress trebuie privită ca un proces continuu.

În primul rând, WordPress, tema și pluginurile trebuie menținute actualizate.

Apoi, trebuie folosite parole puternice și unice pentru conturile importante.

Autentificarea în doi pași poate adăuga un nivel suplimentar de protecție.

De asemenea, este important să existe backupuri reale și verificabile.

Un backup este util doar dacă poate fi restaurat atunci când apare o problemă.

Păstrează cât mai puține conturi cu drepturi de Administrator

Una dintre cele mai bune reguli pentru un website este să nu existe mai mulți administratori decât este necesar.

Dacă o persoană are nevoie doar să scrie articole, nu este obligatoriu să primească drepturi complete de Administrator.

Principiul este simplu: fiecare utilizator ar trebui să primească doar permisiunile de care are nevoie.

Cu cât există mai multe conturi cu privilegii ridicate, cu atât crește și suprafața de atac.

Concluzie

Când într-un website WordPress apar articole pe care nu le-ai scris și acestea sunt publicate în numele unui autor existent, situația nu trebuie ignorată.

Poate fi vorba despre un cont compromis, o vulnerabilitate într-un plugin sau într-o temă, o automatizare configurată greșit sau, în unele cazuri, despre o compromitere mai complexă a website-ului.

Important este să nu te limitezi la ștergerea articolelor.

Articolul poate fi doar simptomul problemei, nu problema în sine.

Un website WordPress sigur trebuie verificat la nivel de utilizatori, parole, pluginuri, teme, fișiere, baza de date, hosting și loguri.

Iar dacă după ștergerea articolelor acestea apar din nou, este un semn că sursa problemei nu a fost eliminată.

Un articol apărut fără să-l fi scris poate fi doar primul semnal că cineva a obținut acces acolo unde nu ar fi trebuit să ajungă.