Meu WordPress foi acessado por terceiros, e agora?

Ana Beatriz Rodrigues

Meu WordPress está acessado por terceiros, e agora?

As vezes, alguns dos nossos clientes comentam ter suspeitas de que seu WordPress está sendo acessado por terceiros. Esses clientes pedem dicas e orientações sobre o que fazer nessa situação, e o próprio WordPress tem um artigo sobre isso, embora esteja em inglês. Por isso, nesse post nós traduzimos esse artigo, que irá te auxiliar a descobrir se o seu WordPress está sendo acessado por terceiros e, caso esteja esteja sendo acessado por terceiros, o que fazer sobre isso.

Meu WordPress foi/está sendo acessado por terceiros, e agora?

Infelizmente ser vítima de um ataque de hacker vem sendo cada vez mais comum. Além disso, muitas pessoas dizem que é uma das experiências mais frustrantes que você pode ter online. No entanto, adotar uma abordagem pragmática pode te ajudar a se sentir menos frustado. Desse modo, você também consegue superar esses problemas com o menor impacto possível.

Entretanto, quando falamos que sofremos um hack, acabamos sendo muito ambíguo. Isto é ruim, já que nos oferece poucas informações sobre o que exatamente aconteceu. Sendo assim, é importante que você entenda todos os “sintomas” que indicam que você foi hackeado, também sendo conhecidos como Indicadores de Compromisso (IoC). Já que desse modo, você conseguirá receber a ajuda que você precisa nos fóruns.

Entre os principais IoCs, estão:

Seu site está na lista negra dos navegadores, como Google, Bing, etc.
Seu host desativou o seu site.
Seu site foi sinalizado por distribuir malwares.
Receber diversas reclamações dos leitores de que seus antivírus de desktop estão indicando seu site como perigoso.
Está sendo contatado para ser informado de que seu site está sendo usado para atacar outros sites.
Observa comportamentos não autorizados (ou seja, criação de novos usuários, etc.).
Você pode ver visivelmente que seu site foi hackeado ao abri-lo no navegador.

Entretanto, nem todos os hacks são iguais, e é importante lembrar disso ao consultar os fóruns.

Algumas etapas a serem tomadas

Mantenha a calma

É comum que, ao lidar com um problema de segurança como esse, você provavelmente está enfrentando uma quantidade enorme de estresse. Já que, além de provavelmente ser uma das situações mais vulnerável em que você se encontrou desde que está online, vai contra o que todos disseram que o WordPress é fácil.

No entanto, nem tudo está perdido. Já que, apesar de você perder algum dinheiro e a sua marca sofrer um impacto. Com as decisões certas, você conseguirá se recuperar disso.

Sendo assim, é vital que você busque manter a calme e se recompor. Já que fazendo isso, você conseguirá assumir o controle da situação de uma forma mais eficaz e recuperar a sua presença online.

Documente

A primeira coisa que você deve fazer depois de ter uma suspeita de hack é documentar. Ou seja, você precisa reservar um momento para anotar o que você está enfrentando e, se possível, os horários. Algumas perguntas que você deve ter em mente e considerar são:

O que você está vendo que o leva a acreditar que foi hackeado?
A que horas você notou esse problema? Qual fuso horário?
Quais ações você tomou recentemente? Um novo plugin foi instalado? Você fez uma alteração em um tema? Modificou um widget?

Desse modo, você está criando a base para um relatório de incidente. Ele pode ser usado para realizar a resposta ao incidente sozinho ou envolver uma organização profissional. Isto é porque este documento será importantíssimo ao longo do tempo.

Além disso, recomendamos também anotar detalhes do seu ambiente de hospedagem. Isso será necessário em algum momento durante o processo de resposta ao incidente.

Escaneie seu site

Quando você escaneia o seu site, você pode fazer isso de maneiras diferentes. Já que você pode usar scanners remotos externos ou scanners de nível de aplicativo, como os plugins. Isto é porque cada um deles é projetado para procurar e relatar coisas diferentes. Sendo assim, ao juntá-las, você aumenta as suas chances de descobrir algo suspeito e importante.

Alguns scanners baseados em aplicativos (plugins) são:

Quttera
GOTMLS
WordFence
Sucuri

Alguns scanners baseados em remoto (crawlers) são:

VirusTotal
Sitecheck

Além disso, também há vários outros plugins de segurança disponíveis no repositório do WordPress. Ademais a isso, os plugins listados acima existem há muito tempo e têm comunidades fortes por trás deles.

Escaneie seu ambiente local

Além de escanear seu site, você também precisa verificar seu ambiente local. Isto é porque, em muitos casos, a fonte do ataque ou infecção começa na sua máquina local, como notebook ou desktop. Já que, a maioria dos atacantes executam trojans localmente. Desse modo, conseguem capturar diversas informações de acesso, como login de FTP e /wp-admin. Assim, possibilitando que eles entrem como proprietário do site.

Sendo assim, certifique-se de executar uma verificação completa de antivírus/malware na sua máquina. No entanto, alguns vírus são bons em detectar softwares antivírus e se esconder deles, então recomendamos testar diferentes softwares. Isso vale para máquinas Windows, OS X e Linux.

Verifique com seu provedor de hospedagem

Sempre considere a possibilidade de que o hack pode ter afetado mais do que apenas seu site, principalmente se você usa uma hospedagem compartilhada. Sendo assim, vale a pena conferir com seu provedor de hospedagem para ver se eles estão tomando alguma medida ou se precisam fazer algo. Além disso, eles também podem confirmar se é realmente um hack ou se é só uma perda de serviço, por exemplo.

Uma implicação séria de um hack hoje em dia é a inclusão em listas negras de e-mails. E isso vem acontecendo cada vez mais. Já que, a medida em que os sites são usados para enviar e-mails SPAM, as autoridades de listas negras sinalizam os IPs dos sites, que muitas vezes estão ligados ao mesmo servidor usado para e-mails. Desse modo, a melhor solução é usar provedores de e-mail como o Google Apps para as necessidades do seu negócio.

Esteja atento às listas negras de sites

Ter problemas com a lista negra do Google podem prejudicar sua marca. Já que, atualmente, eles colocam na lista negra cerca de 9.500 a 10.000 sites por dia, e esse número vem crescendo diariamente. Por conta disso, existem vários tipos de avisos, desde grandes páginas de alerta pedindo que os usuários fiquem longe até mensagens mais sutis nas páginas de resultados de mecanismos de busca.

Embora o Google seja um dos mais conhecidos, também há outras entidades de listas negras, como Bing, Yahoo. Além de uma ampla gama de aplicativos antivírus para desktop. Sendo assim, qualquer um dos seus clientes ou visitantes podem usar várias ferramentas, e qualquer uma delas pode estar causando o problema.

Por conta disso, é recomendável registrar seu site em consoles de webmaster online, como:

Google Search Console
Bing Webmaster
Yandex Webmaster
Norton Webmaster

Melhore seus controles de acesso

Frequentemente é comentado na internet a importância de atualizar senhas e, apesar de serem importantes, representam uma pequena parte de um problema maior. Já que vem ficando cada vez mais nítido que é preciso melhorar nossa postura geral em relação ao controle de acesso. Ou seja, procure usar senhas mais complexas, longas e únicas. Outra recomendação é usar um gerador de senhas, como os encontrados em aplicativos como 1Password, LastPass e BitWarden.

No entanto, também se lembre de que isso inclui alterar todos os pontos de acesso, como FTP/SFTP, WP-ADMIN, CPANEL e MYSQL. Além disso, isso também se aplica a todos os usuários que têm acesso ao ambiente, não apenas ao seu.

Outra recomendação é usar um sistema de autenticação de dois fatores ou multifator. Em sua forma mais básica, ele exige uma segunda forma de autenticação ao fazer login no WordPress. Alguns plugins que ajudam nisso são:

Rublon
Duo

Redefina todos os acessos

Quando identificamos um hack, uma das primeiras coisas que você precisa fazer é bloquear tudo, para minimizar quaisquer alterações adicionais. Sendo assim, comece pelos usuários. Já que você pode forçar uma redefinição global de senhas para todos, até para os administradores. O plugin iThemes Security pode ajudar nessa etapa.

Além disso, você também deve desconectar todos os usuários que possam estar logados no WordPress. Para fazer isso, você precisa atualizar as chaves secretas no arquivo wp-config.php. Gere um novo conjunto no gerador de chaves do WordPress, e substitua os valores no arquivo. Assim, você forçará a saída de qualquer um que ainda esteja conectado.

Crie um backup

Você provavelmente já tem um backup do seu site. No entanto, caso não tenha, é o momento ideal para criar um. Já que os backups são essenciais para a continuidade das operações e devem ser planejados ativamente para o futuro. Por isso, recomendamos que você pergunte ao seu host qual é a política deles sobre backups. Caso você já tenha um backup, pode restaurá-lo e pular direto para o trabalho forense.

É importante manter backups regulares do banco de dados e dos arquivos para casos futuros.

Além disso, antes de passar para a fase de limpeza, tire outro snapshot do ambiente. Mesmo que esteja infectado, dependendo do tipo de hack, ele pode causar problemas, e, em caso de uma falha grave, você terá essa cópia para referência.

Encontre e remova o hack

Essa é a parte mais difícil do processo, encontrar e remover o hack. Isto é porque essas etapas vão depender de vários fatores, incluindo os sintomas mencionados acima, e da sua aptidão técnica com sites e servidores.

Sendo assim, o próprio WordPress disponibiliza alguns posts úteis para esse processo. Entre os principais estão:

Embora seja tentador apagar tudo e começar do zero. Em alguns casos, isso é viável, mas na sua grande maioria não é. No entanto, você pode reinstalar certos elementos do site sem afetar o núcleo. Recomendamos que você use a mesma versão do software que seu site usa para evitar problemas. Além disso, não use as opções de reinstalação no WP-ADMIN. No seu lugar, use um aplicativo FTP/SFTP para arrastar e soltar os arquivos. Você pode substituir com segurança os diretórios:

/wp-admin
/wp-includes

No entanto, seja o cuidadoso possível ao atualizar o diretório wp-content. Já que ele contém os arquivos de temas e plugins. Ademais a isso, também verifique o arquivo .htaccess, pois é comum ele sofrer alterações nas infecções e usado para atividades maliciosas. Já que ele geralmente está na raiz da instalação, mas pode aparecer em outros diretórios.

Além disso, fique de olho nos seguintes arquivos durante a remediação. Já que, quando modificados, eles podem afetar todas as páginas:

index.php
header.php
footer.php
function.php

Aproveite a comunidade

O WordPress é uma plataforma baseada na sua comunidade. Sendo assim, caso você tenha algum problema, alguém provavelmente te ajudará. Um bom lugar para começar é o fórum Hacked ou Malware do WordPress.org.

Atualize!

Logo depois da limpeza, atualize seu WordPress para a versão mais recente. Já que as versões antigas são mais vulneráveis a hacks.

Mude as senhas novamente!

Depois de garantir que seu site está limpo, mude todas as senhas de novo. Use senhas complexas, longas e únicas. Além disso, considere mudar a conta e senha do banco de dados, as atualizando no wp-config.php.

Forense

Forense é, em suma, entender o que aconteceu e como os atacantes entraram. Seu objetivo é identificar o vetor de ataque para evitar novos ataques. Embora isso possa ser difícil sem conhecimento técnico ou dados suficientes, existem ferramentas como OSSEC e Splunk que podem te ajudar caso você tenha os metadados necessários.

Proteja seu site

Depois que você recuperou seu site, o proteja. Para isso, você precisará implementar todas as medidas de segurança recomendadas.

Não consigo entrar no painel de administração do WordPress

Caso um atacante sequestre a sua conta de administrador, você não pode entrar em pânico. Busque usar ferramentas, como phpMyAdmin, para acessar seu banco de dados diretamente. Assim, você redefinirá o usuário na tabela wp_users. Caso você prefira, também atualize seu e-mail, clicando em esqueci a senha na tela de login e aguarde o e-mail.

Usando controle de versão?

Caso você use o controle de versão, você consegue identificar quaisquer mudanças rapidamente. Desse modo, você também consegue reverter para uma versão anterior. Para fazer isso, no terminal, compare arquivos com o repositório oficial do WordPress:

$ svn diff .

Ou um arquivo específico:

$ svn diff /path/to/filename

Meu WordPress foi acessado por terceiros, e agora?

Ana Beatriz Rodrigues