Malwaremelding van LJPc ontvangen: wat betekent het en wat doe je nu?

Krijg je van ons de mail Mogelijk malware gevonden op je website, dan heeft onze nachtelijke malwarescan op je website bestanden gevonden die schadelijk lijken. We hebben niets verwijderd: je website draait zoals hij draaide en jij bepaalt wat er gebeurt. Bekijk de genoemde bestanden dezelfde dag nog, ruim op wat er niet hoort en sluit daarna het lek waardoor de malware binnenkwam.

Hieronder lees je wat er in de melding staat, hoe je beoordeelt of het echte malware is en welke stappen je zet. Wil je dat wij meekijken, antwoord dan op de mail.

Wat staat er in de malwaremelding?

De mail komt van LJPc en noemt per website de bestanden die we vonden. Zo ziet die tabel eruit, met een verzonnen voorbeeld:

• Domein: de website waarop het bestand staat.
• Bestand: waar het bestand staat, gerekend vanaf de hoofdmap van je domein. De map httpdocs is de map van je website. Met dit pad vind je het bestand terug in Plesk.
• Type: het soort malware dat we vermoeden, als korte Engelse term. Wat die termen betekenen, lees je hieronder.

Onder de tabel staat dat we de bestanden niet hebben verwijderd, dat het om vals alarm kan gaan en dat we je kunnen helpen met opschonen. De melding zelf bevat geen links of bijlagen.

Dezelfde bestanden zie je ook in het klantenportaal: zolang ze gevonden worden, staat op het dashboard een rode kaart Malware gevonden, met per website het type en de bestanden. Twijfel je of de mail echt van ons komt, log dan zelf in op het portaal en kijk of die kaart er staat.

Wat betekent het type in de melding?

Staat er een ander type, dan beschrijft dat ook het soort malware dat we vermoeden. Neem elk type serieus: ook een bestand dat alleen spam lijkt te versturen, laat zien dat iemand bestanden op je website kon zetten.

Is het echt malware of vals alarm?

De scan opent elk verdacht bestand en meldt alleen bestanden die er duidelijk kwaadaardig uitzien. Toch kan een bestand van een plugin of thema op malware lijken. Controleer het daarom zelf, of laat je webbouwer kijken. Deze tekens wijzen op echte malware:

• Een PHP-bestand in de map wp-content/uploads. Daar horen afbeeldingen en documenten, geen PHP.
• Een plugin of thema dat je niet kent, vaak met een naam die op WordPress of op een bekende plugin lijkt.
• Code die je niet kunt lezen: lange rijen willekeurige letters en cijfers, of functies als eval, base64_decode of gzinflate aan het begin van een bestand.
• Een recente datum bij het bestand, terwijl jij of je webbouwer toen niets aan de website deed.
• Een beheerder in WordPress die je niet zelf hebt aangemaakt.

Hoort het bestand bij een plugin of thema dat je zelf hebt geïnstalleerd, vergelijk het dan met een verse download van de officiële bron. Is het precies gelijk en weet je zeker dat het er hoort, laat het ons dan weten door op de mail te antwoorden.

Open een verdacht bestand nooit in je browser, ook niet met Open in Browser in Plesk: dan voer je de code uit.

Wat doe je nu? Stap voor stap

1. Maak eerst een back-up van de huidige staat. Open Plesk vanuit het klantenportaal (zie Plesk openen vanuit het klantenportaal) en maak bij je domein in Backup & Restore een volledige back-up, zoals beschreven in back-up website maken. Zo raak je geen recente bestellingen of berichten kwijt als er bij het opruimen iets misgaat. Onthoud de datum en tijd, zodat je deze besmette back-up later niet per ongeluk terugzet.
2. Bekijk de bestanden uit de melding. Ga in Plesk naar Websites & Domains en klik bij je domein op Files. Open de mappen uit de kolom Bestand, bijvoorbeeld httpdocs, wp-content en uploads. Klik op de naam van het bestand om de inhoud te lezen en sluit het venster met Cancel, zodat je niets opslaat. In de kolom Modified zie je wanneer het bestand voor het laatst veranderde. Staan er in dezelfde map meer bestanden met ongeveer dezelfde datum en tijd die je niet kent, bekijk die dan ook.
3. Ruim op. Wat je doet, hangt af van het bestand:
   • Een bestand dat er niet hoort, zoals een PHP-bestand in uploads of de map van een plugin die je niet kent: vink het aan in Files en klik op Remove. Vraagt Plesk of het bestand naar de Recycle Bin mag, zet dan een vinkje bij Skip the Recycle Bin and permanently remove, zodat het bestand echt weg is. Je back-up uit stap 1 heb je nog.
   • Een bestand van WordPress zelf, in wp-admin, wp-includes of de hoofdmap van je website: herstel WordPress met Check WordPress Integrity in WP Toolkit. De stappen staan in website onterecht gemeld als onveilig, onder Je website is wel besmet.
   • Een bestand van een plugin of thema dat je wel gebruikt: vervang die plugin of dat thema door een verse kopie van de officiële bron, in dezelfde versie of nieuwer.
   • Kwaadaardige code in een bestaand bestand (php-injection of js-injection): vervang het bestand door een schone versie, of zet een back-up van vóór de besmetting terug. Kijk bij een WordPress-site ook naar het bestand .htaccess in httpdocs: aanvallers passen dat vaak aan om bezoekers door te sturen.
4. Of zet een schone back-up terug. Heb je een back-up van vóór de besmetting, dan is terugzetten vaak de snelste weg (zie back-up website maken). Wat er na die back-up op je website veranderde, zoals bestellingen of berichten, staat nog in de back-up van stap 1. We maken daarnaast elke nacht een back-up van de hele server; hoe je daaruit een eerdere versie terugkrijgt, lees je in back-ups bij LJPc hosting.
5. Sluit het lek. Malware komt meestal binnen via verouderde software of een gelekt wachtwoord. Werk WordPress, plugins en thema's bij en verwijder wat je niet gebruikt. Gebruik je een betaalde plugin of een betaald thema dat niet bij de maker vandaan komt, vervang het dan door een gekochte versie: in zulke kopieën zit vaak een achterdeur. Verwijder WordPress-beheerders die je niet kent en scan ook je eigen computer met een virusscanner, want een besmette computer kan je wachtwoorden doorgeven.
6. Wijzig je wachtwoorden als je website schoon is. Dat geldt voor alle WordPress-beheerders, je FTP- en SFTP-accounts en het klantenportaal. Zet op het klantenportaal tweefactorauthenticatie aan als je dat nog niet had, en controleer met Have I Been Pwned of je e-mailadres in een datalek staat.
7. Controleer of je alles hebt. Open je website ook op je telefoon en zoek in Google op site:jouwdomein.nl naar pagina's die je niet kent. Waarschuwt een browser of virusscanner voor je website, lees dan website onterecht gemeld als onveilig. Meer tips staan in de Engelstalige uitleg van WordPress over een gehackte site.
8. Wacht de volgende scan af. Elke nacht controleren we de bestanden uit de melding opnieuw. Zijn ze weg of schoon, dan verdwijnt de kaart Malware gevonden van je dashboard. Je hoeft de melding niet af te melden.

Krijg je de melding opnieuw?

Je krijgt een mail over bestanden die de scan voor het eerst vindt. Laat je een gemeld bestand staan, dan krijg je daarover geen tweede mail, maar de kaart in het portaal blijft staan tot de scan het bestand niet meer vindt.

Vindt de scan later nieuwe bestanden, of komt een bestand terug nadat het uit de melding verdween, dan krijg je wel een nieuwe mail. Dat betekent meestal dat er nog een achterdeur op je website staat of dat het lek nog open is. Loop dan stap 5 en 6 opnieuw na, of vraag ons om hulp.

Wie krijgt de malwaremelding?

De mail gaat naar het e-mailadres van je account in het klantenportaal. Laat je je website onderhouden door een webbouwer of ICT'er, zet dan het adres van die persoon en je eigen adres bij Mijn account > Meldingen, in het blok Malware-meldingen. Je kunt daar meer adressen invullen. Dat tabblad zie je met het hoofdaccount; hoe het werkt, lees je in meldingen instellen in het klantenportaal.

Wat LJPc hosting voor je regelt

• Elke nacht een malwarescan van de websites op onze hostingservers. Bestanden die we eerder vonden, controleren we elke nacht opnieuw.
• Een melding met alles wat je nodig hebt: per mail en op het dashboard van het klantenportaal, met de bestanden en het soort malware dat we vermoeden.
• Jij houdt de regie. Je website draait door zoals hij is, en jij of je webbouwer beslist wat er met de bestanden gebeurt.
• Elke nacht een back-up van de server, op een aparte backupserver, zodat we een eerdere versie van je website kunnen terugzetten.
• Hulp bij opschonen. Wil je dat wij meekijken of je website opschonen, antwoord dan op de mail of maak een supportticket aan. In dat artikel lees je ook hoe we zulk werk rekenen; we beginnen pas na jouw akkoord.