Checkliste: WordPress-Malware entfernen auf Firmenwebsites

Was es ist

Malware-Bereinigung ist der Prozess, schädlichen Code, unbefugten Zugriff und Persistenzmechanismen in einer WordPress-Installation und ihrer Hosting-Umgebung zu erkennen und zu entfernen und anschließend einen normalen, vertrauenswürdigen Betrieb wiederherzustellen. Sie betrifft vier Bereiche: das Dateisystem (Core, Themes, Plugins, Uploads und Konfigurationsdateien), die Datenbank (Optionen, Beiträge, Benutzer und etwaige eigene Tabellen), das Hosting-Konto (FTP/SFTP-Benutzer, Cronjobs, andere Websites im selben Konto) und externe Dienste (DNS, CDN, E-Mail und Einträge in Suchmaschinen). Die Arbeit ist erst abgeschlossen, wenn der Einstiegsweg identifiziert ist, soweit die verfügbaren Spuren dies zulassen, und geschlossen wurde; andernfalls ist eine erneute Infektion wahrscheinlich.

Für wen es gedacht ist

Diese Checkliste ist hilfreich für:

• Website-Betreiber, die verstehen müssen, was eine ordentliche Bereinigung umfasst, bevor sie eine beauftragen
• Agenturen, die Kundenwebsites betreuen und einen einheitlichen Standard für Bereinigungen wünschen
• Teams, deren Website schon einmal „bereinigt“ wurde, aber erneut infiziert ist
• Führungskräfte, die prüfen müssen, ob der Bericht eines Dienstleisters alle relevanten Ebenen abdeckt

Was es zu klären hilft

Die Checkliste hilft zu klären:

• welche Teile der Installation durch bekannt saubere Kopien ersetzt werden können und welche eine manuelle Prüfung brauchen
• ob Persistenzmechanismen wie versteckte Benutzer oder geplante Aufgaben entfernt wurden
• was der wahrscheinliche Einstiegspunkt war und ob er geschlossen wurde
• welche Härtungsschritte folgen sollten, um die Wahrscheinlichkeit einer Wiederholung zu senken

Was ist enthalten

• Vorbereitung: ein vollständiges Backup des aktuellen Zustands erstellen, ältere Backups unverändert lassen und Datum und Uhrzeit notieren
• Core-Dateien: den WordPress-Core durch eine frische Kopie derselben Version aus der offiziellen Quelle ersetzen und nach Stabilisierung der Website auf die aktuelle Version aktualisieren
• Plugins und Themes: aus vertrauenswürdigen Quellen neu installieren; alles Ungenutzte, Aufgegebene oder aus inoffiziellen Quellen Bezogene entfernen
• Upload-Ordner: nach ausführbaren Dateien suchen, wo nur Medien liegen sollten
• Konfiguration: wp-config.php und Serverkonfigurationsdateien wie .htaccess auf eingeschleuste Regeln oder Weiterleitungen prüfen
• Datenbank: Optionen, Beiträge und Widgets nach eingeschleusten Skripten oder unbekannten URLs durchsuchen
• Benutzer: jeden Administrator und Redakteur prüfen; unbekannte Konten entfernen und die übrigen Passwörter zurücksetzen
• Geplante Aufgaben: WordPress-Cron-Ereignisse und Cronjobs des Hostings auf Unbekanntes prüfen
• Zugangsdaten: Hosting-, Datenbank-, SFTP- und API-Schlüssel rotieren und die WordPress-Security-Salts neu erzeugen
• Einstiegspunkt: die verwundbare Komponente aktualisieren oder entfernen, schwache Zugänge beheben und Dateiberechtigungen korrigieren
• Verifizierung: erneut scannen, Seiten sowohl angemeldet als auch als anonymer Besucher prüfen und für Warnungen von Suchmaschinen oder Browsern eine Überprüfung beantragen
• Härtung: MFA für Administratoren aktivieren, den Admin-Zugang einschränken, Updates planen und eine Überwachung von Dateiänderungen einrichten

Was nicht enthalten ist

• Anleitungen auf Befehlsebene zur Malware-Entfernung für ungeschultes Personal an einer Live-Website
• Die Behauptung, dass ein Scan ohne Ergebnisse bedeutet, dass die Website sauber ist
• Rechtliche Bewertungen zu Meldepflichten bei Datenpannen oder zur Haftung
• Fortlaufende Überwachung nach der Bereinigung, sofern nicht gesondert vereinbart

Wann man es wählt

Nutzen Sie diese Checkliste nach den ersten Eindämmungsschritten, sobald Sie ein Backup des aktuellen Zustands haben und die wichtigsten Konten kontrollieren. Sie ist auch als Abnahme-Checkliste nützlich, wenn ein Dienstleister meldet, dass eine Bereinigung abgeschlossen ist: Fragen Sie, welche Punkte abgedeckt wurden und was gefunden wurde. Wenn personenbezogene Kundendaten, Zahlungsdaten oder Anmeldedaten offengelegt worden sein könnten, beziehen Sie die für Datenschutz und rechtliche Pflichten verantwortliche Person ein. Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung.

Unser Ansatz

Arbeiten Sie von außen nach innen und vom bekannt Sauberen zum Unbekannten. Ersetzen Sie, was sich durch saubere Kopien ersetzen lässt, und verwenden Sie die Prüfzeit dann auf das, was einzigartig für Ihre Website ist: eigene Themes, Uploads und Datenbankinhalte. Dokumentieren Sie jede Änderung, denn diese Aufzeichnung hilft, den Vorfall gegenüber Stakeholdern zu erklären, und stützt spätere Entscheidungen. Schalten Sie die Website erst wieder für den normalen Verkehr frei, wenn die Verifizierung abgeschlossen ist, und planen Sie die Härtung als Teil des Auftrags statt als Nachgedanken. Unser Service Incident Recovery umfasst Eindämmung, die Bereinigung von Schadcode, Hintertüren und unbefugten Benutzern, eine sichere Wiederherstellung und das Schließen des festgestellten Einstiegspunkts, mit einem schriftlichen Bericht und Empfehlungen zur Härtung. Ist das akute Problem gelöst, kann ein gesondert abgegrenzter Auftrag zur Website-Härtung die weitere Konfiguration, die Update-Disziplin und Zugriffskontrollen behandeln. Bewahren Sie den Bereinigungsbericht bei Ihrer Website-Dokumentation auf; er wird nützlich sein, falls etwas Ähnliches erneut auftritt.

Incident Recovery

Häufig gestellte Fragen

Verwandte Artikel