Leg vast wat u ziet
Noteer ongewenste redirects, onbekende gebruikers, gewijzigde bestanden of waarschuwingen, samen met tijdstippen. Bewaar relevante logs en maak een afgeschermde kopie van de huidige bestanden en database voor onderzoek. Vermeng die kopie niet met een herstelpunt dat als schoon bekendstaat.
Neem contact op met de hostingbeheerder wanneer er aanwijzingen zijn voor actief misbruik. Stem af welke toegang of uitgaande acties direct moeten worden beperkt.
Beperk verdere wijzigingen
Gebruik een schone beheercomputer en beveiligde toegang. Trek verdachte accounts en sleutels in en laat actieve sessies beoordelen. Een onderhoudsplugin binnen de mogelijk besmette WordPress-installatie sluit niet automatisch alle achterdeuren af.
Laat waar nodig de toegang op hostingniveau beperken. Houd bij welke acties u uitvoert, zodat het onderzoek later te reconstrueren is.
Zoek verder dan zichtbare schade
Controleer WordPress-core, plugins, thema's, uploads, geplande taken en configuratie. Een checksumcontrole van WordPress-core kan afwijkingen vinden, maar controleert niet alle eigen code of database-inhoud en bewijst geen volledige afwezigheid van malware.
Vergelijk bestanden met betrouwbare distributies en een bekende goede versie. Voer onbekende PHP-bestanden niet uit om te ontdekken wat ze doen.
Herstel de oorzaak én de inhoud
Bepaal welk herstelpunt van vóór de besmetting bruikbaar is. Onderzoek welke actuele klantgegevens behouden moeten blijven. Herstel of bouw opnieuw op uit betrouwbare bronnen en verhelp de kwetsbaarheid of gestolen toegang voordat de site weer opengaat.
Vervang relevante geheimen vanuit een schone omgeving en controleer ook gekoppelde diensten. Alleen een wachtwoord wijzigen verwijdert geen schadelijke bestanden; alleen bestanden vervangen trekt gestolen sleutels niet in.
Controle na herstel
Test websitefuncties, gebruikers, redirects en uitgaande mail. Controleer of onbekende wijzigingen terugkeren en volg relevante logs op. Bewaar de incidentgegevens volgens uw eigen afspraken en laat de verantwoordelijke beoordelen welke klanten of andere betrokkenen geïnformeerd moeten worden.
Leg vast wat is gevonden, hersteld en nog onderzocht wordt. Noem de site pas hersteld nadat de afgesproken technische controles zijn uitgevoerd.