So überprüfen Sie eine WordPress-Website auf Malware: Erkennung und Entfernung

Ihre Website hat eine Google Safe Browsing-Prüfung nicht bestanden. Oder ein Kunde hat Ihnen einen Screenshot weitergeleitet, der zeigt, dass seine Website möglicherweise gehackt wurde.

Auf jeden Fall starren Sie auf ein WordPress-Dashboard und fragen sich, wo Sie mit der Suche nach Malware beginnen sollen.

Ich führe jedes Mal dieselbe Checkliste durch, wenn dies passiert, egal ob es sich um meine eigene Website oder um eine handelt, die ich für einen Kunden verwalte.

Es ist nicht kompliziert. Es muss nur gründlich sein, denn Malware kündigt sich nicht immer mit einem Warnhinweis an.

In diesem Beitrag zeige ich Ihnen Schritt für Schritt, wie Sie Ihre Website auf Malware überprüfen und was Sie tun müssen, sobald Sie welche gefunden haben.

Wenn Sie lieber direkt zum Vergleich von Malware-Entfernungs-Plugins übergehen möchten, haben wir dafür einen separaten Beitrag. Hier konzentrieren wir uns auf den Prozess: Was Sie suchen müssen, wo Sie suchen müssen und wie Sie wissen, wann Sie tatsächlich etwas gefunden haben, im Gegensatz zu etwas, das nur verdächtig aussieht.

Hier sind die wichtigsten Erkenntnisse:

• Zwei Möglichkeiten, eine Malware-Infektion zu beheben: Stellen Sie ein Backup wieder her, das vor dem Eindringen der Malware erstellt wurde (schnell, beseitigt sie in einem Schritt), oder entfernen Sie infizierte Dateien und Datenbankeinträge manuell, wenn kein sauberes Backup vorhanden ist (langsamer, erfordert mehr Sorgfalt).
• Das Sichern einer infizierten Website ist zu erwarten, kein Fehler: Dieses Backup schützt Sie vor Ihren eigenen Bereinigungsfehlern.
• Malware lebt oft in Ihrer Datenbank, nicht in Ihren Dateien: fehlerhafte Admin-Konten, eingeschleuste Links in Post-Inhalten und geänderte siteurl-Werte umgehen routinemäßig dateibasierte Scanner.
• Der Zeitstempel Ihres Aktivitätsprotokolls entscheidet über alles: Er sagt Ihnen, wie weit die Infektion zurückreicht, was bestimmt, ob ein sauberes Backup tatsächlich zur Wiederherstellung vorhanden ist.
• Die Bereinigung der Malware ist nicht der letzte Schritt: Wenn Sie nicht patchen, was sie hereingelassen hat (ein veraltetes Plugin, ein schwaches Passwort), gelangt dieselbe Infektion auf demselben Weg zurück.

Inhaltsverzeichnis

Warum Ihre Seite auf Malware überprüfen?

Malware auf einer WordPress-Website bleibt selten auf eine Datei oder eine Seite beschränkt. Sie breitet sich aus.

Eine einzige infizierte Plugin-Datei kann Spam-Links auf jeder Seite Ihrer Website einschleusen, versteckte Admin-Konten erstellen oder einen Teil Ihrer Besucher leise auf eine Betrugsseite umleiten, während für Sie alles normal aussieht.

Wenn man das unbeachtet lässt, hat das echte Konsequenzen.

Google kann Ihre gesamte Website in den Suchergebnissen mit der Warnung „Diese Website wurde möglicherweise gehackt“ kennzeichnen, was Ihre Klickrate drastisch senkt, selbst wenn die meisten Ihrer Seiten unberührt sind.

Ihr Hosting-Anbieter kann Ihr Konto sperren, wenn die Infektion beginnt, Spam zu versenden oder andere Websites anzugreifen. Wenn Sie einen Online-Shop betreiben, kann eine Infektion auf Datenbankebene Kundendaten preisgeben, ohne dass ein einziges sichtbares Symptom auftritt.

Ich habe gesehen, wie Website-Besitzer dies wochenlang aufgeschoben haben, weil nichts offensichtlich falsch aussah.

Das ist normalerweise das Problem. Die Infektionen, die den größten Schaden anrichten, sind diejenigen, die darauf ausgelegt sind, unauffällig zu bleiben.

Regelmäßige Überprüfungen (nicht nur, wenn etwas nicht stimmt) erkennen eine Infektion, während sie noch klein genug ist, um an einem Nachmittag statt einer Woche behoben zu werden.

Was Sie vor dem Start benötigen

Sie müssen kein Entwickler sein, um diese Checkliste durchzugehen, aber Sie benötigen zuerst ein paar Dinge.

• Zugriff auf wp-admin. Sie werden Benutzer, Plugins und Inhalte direkt im Dashboard überprüfen.
• FTP/SFTP- oder Dateimanager-Zugriff. Die meisten Hoster stellen dies über cPanel oder ein ähnliches Control Panel zur Verfügung. Sie benötigen es, um die Änderungsdaten von Dateien zu überprüfen und den Code zu inspizieren.
• Datenbankzugriff. phpMyAdmin oder das Äquivalent Ihres Hosters. Dies ist für die frühen Schritte optional, aber Sie werden es benötigen, wenn Sie mit der Überprüfung auf eingeschleusten Inhalt beginnen.
• Ein aktuelles Backup oder die Möglichkeit, sofort eines zu erstellen. Dies ist keine Option.

Hier ist, warum der letzte Punkt wichtiger ist, als es klingt.

Sobald Sie anfangen, infizierte Dateien zu untersuchen, ist es leicht, etwas zu löschen, das sich als tragend erweist, oder eine legitime Plugin-Datei fälschlicherweise als bösartig zu interpretieren. Ein Backup bedeutet, dass jeder Fehler, den Sie unterwegs machen, Sie einen Wiederherstellungsvorgang kostet, nicht einen kompletten Neuaufbau.

Wenn Sie noch kein aktuelles Backup haben, ist das Ihr erster Schritt. Alles andere in diesem Beitrag geht davon aus, dass Sie eines haben.

So überprüfen Sie Ihre WordPress-Seite auf Malware

Hier ist, was ich immer tue, um eine WordPress-Website auf gefährliche Malware zu überprüfen:

• Achten Sie auf sichtbare Warnzeichen: die Symptome, die normalerweise die Leute zuerst aufmerksam machen, damit Sie innerhalb von Minuten wissen, ob Sie es mit einer Infektion oder etwas ganz anderem zu tun haben.
• Sichern Sie Ihre Website, bevor Sie etwas anfassen: Dies macht jeden Schritt danach rückgängigbar, sodass eine falsche Vermutung später einen Wiederherstellungsvorgang kostet, nicht einen Neuaufbau.
• Überprüfen Sie die Google Search Console und Browser-Warnungen: Bestätigen Sie, ob Google oder Chrome Sie bereits markiert hat, da diese Markierung das ist, was Sie im Moment tatsächlich Traffic kostet.
• Scannen Sie Ihre Dateien auf unbekannten oder kürzlich geänderten Code: die manuelle Überprüfung, die die meisten Leute überspringen und wo sich die eigentliche Infektion normalerweise findet.
• Überprüfen Sie Ihre Datenbank auf eingeschleusten Inhalt und nicht autorisierte Benutzer: Hier verstecken sich oft die Infektionen, die die meisten Scanner übersehen, da es oft keine Datei gibt, die ein Scanner melden könnte.
• Führen Sie einen Malware-Scan für eine zweite Meinung durch: Eine Querverbindung, kein Ersatz für die vorherigen Schritte, nützlich, um das zu erkennen, was eine manuelle Durchsicht übersehen hat.
• Überprüfen Sie Ihr Aktivitätsprotokoll, um nachzuvollziehen, was wann geändert wurde: Ermitteln Sie den genauen Zeitpunkt, zu dem die Dinge schiefgelaufen sind, da dieser Zeitstempel Ihnen später mitteilt, ob überhaupt ein sauberes Backup existiert.

Schritt 1: Achten Sie auf sichtbare Warnsignale

Die meisten Infektionen zeigen sich, bevor Sie danach suchen. Sie müssen nur wissen, wonach Sie suchen.

Achten Sie auf:

• Besucher, die zu Spam-Seiten oder unbekannten Seiten weitergeleitet werden, wenn sie Ihre Seiten aufrufen
• Pop-ups oder Anzeigen, die erscheinen, obwohl Sie sie nicht hinzugefügt haben
• Eine Warnung wie „Betrügerische Website voraus“ oder „Diese Website kann Ihren Computer beschädigen“ in Chrome oder einem anderen Browser
• Ein plötzlicher Abfall der Suchrankings oder des Traffics ohne Erklärung
• Spam- oder unsinniger Text, der in Ihren Suchergebnissen angezeigt wird, obwohl Ihre tatsächlichen Seiten in Ordnung aussehen
• Die Website läuft merklich langsamer oder zeigt 500-Fehler ohne kürzliche Änderungen Ihrerseits
• Eine E-Mail von Ihrem Hoster bezüglich einer Sperrung oder eines Sicherheitsproblems

Jeder dieser Punkte für sich könnte etwas anderes bedeuten. Aber wenn Sie zwei oder drei davon gleichzeitig sehen, könnte das ein ernstes Zeichen für Malware auf Ihrer Website sein.

Schritt 2: Sichern Sie Ihre Seite, bevor Sie etwas anfassen

Bevor Sie eine einzige Datei öffnen oder einen einzigen Scan ausführen, erstellen Sie ein Backup.

Alles, was Sie von nun an tun (eine Datei löschen, die Datenbank bearbeiten oder ein Bereinigungstool ausführen), muss rückgängig gemacht werden können, falls etwas schiefgeht. Ein Backup ist dieser Weg zurück.

Dieser Punkt verwirrt die Leute, also gehen wir ihn direkt an: Wenn Ihre Website infiziert ist, sichert ein Backup nicht einfach eine Kopie der Malware?

Ja, das tut es. Das ist in Ordnung.

Dieses Backup schützt Sie vor Ihren eigenen Bereinigungsfehlern, nicht um Ihnen eine saubere Version der Website zu geben.

Wenn Sie beim Untersuchen die falsche Datei löschen oder etwas kaputt machen, stellen Sie dieses Backup wieder her, und Sie sind genau dort, wo Sie angefangen haben, mit Malware und allem, anstatt einer kaputten Website zusätzlich zu einer infizierten.

Das Backup, von dem Sie tatsächlich wiederherstellen würden, um die Malware zu entfernen, ist ein separates, älteres, das vor der Infektion erstellt wurde. Dazu kommen wir später. Vorerst ist dieses Backup nur Ihr Rückgängig-Button für alle Bereinigungsfehler.

Ich empfehle für die Erstellung Duplicator. Dies ist mein bevorzugtes Backup-Plugin, da es eine echte Notfallwiederherstellung bietet, die Ihre Website wiederherstellt, selbst wenn WordPress vollständig beschädigt ist.

Erstellen Sie ein neues Backup. Wählen Sie die Voreinstellung Full Site.

Duplicator kann Backups direkt in Cloud-Speicher senden: Duplicator Cloud, Google Drive, Dropbox oder Amazon S3, unter anderem.

Das ist wichtiger, als es scheint. Wenn Ihr Server stark genug kompromittiert ist, ist ein Backup am selben Ort wie die Infektion kein großer Sicherheitsfaktor.

Sie wissen, dass es funktioniert hat, wenn das Backup auf dem Bildschirm Backups angezeigt wird, mit einer Archivdatei und einer Installerdatei.

Das ist Ihr Wiederherstellungspunkt. Alles von hier an ist sicher zu untersuchen.

Schritt 3: Überprüfen Sie die Google Search Console und Browser-Warnungen

Ihre Website ist möglicherweise bereits markiert, und Sie haben es nur noch nicht überprüft.

Melden Sie sich bei der Google Search Console für Ihre Website an und öffnen Sie den Bericht Sicherheitsbedenken in der linken Seitenleiste. Wenn die Google-Crawler Malware, Spam-Inhalte oder betrügerische Seiten auf Ihrer Website gefunden haben, werden sie hier mit Details darüber angezeigt, was gefunden wurde und wann.

Es lohnt sich zu wissen, was jede Warnung bedeutet, da sie auf unterschiedliche Probleme hinweisen:

• Malware-Warnung: Google hat Code gefunden, der darauf ausgelegt ist, Besucher zu schädigen, wie z. B. einen Drive-by-Download oder ein Exploit-Skript
• Warnung vor betrügerischen Seiten: Ihre Website zeigt Besuchern etwas Irreführendes an, oft eine gefälschte Anmeldeseite oder ein Phishing-Versuch
• Warnung vor schädlichen Downloads: Ihre Website liefert eine Datei aus, die Google als gefährlich einstuft, auch wenn Sie sie nicht dort platziert haben

Ein leerer Bericht über Sicherheitsbedenken ist eine gute Nachricht, aber kein Beweis dafür, dass Sie sauber sind. Google erwischt nicht alles und erwischt Dinge nicht sofort.

Wenn Sie in Chrome eine Warnung „Betrügerische Website voraus“ gesehen haben, ist das Google Safe Browsing, ein verwandtes, aber separates System von der Search Console.

Sie können den Status Ihrer Website direkt auf der Statusseite Google Safe Browsing überprüfen, indem Sie Ihre Domain eingeben.

Schritt 4: Scannen Sie Ihre Dateien auf unbekannten oder kürzlich geänderten Code

Dies ist der Schritt, den die meisten Leute überspringen, und normalerweise finde ich hier das Problem.

Verbinden Sie sich über FTP, SFTP oder den Dateimanager Ihres Hosters mit Ihrer Website. Navigieren Sie zu Ihrem WordPress-Stammverzeichnis und sortieren Sie die Dateiliste nach dem Änderungsdatum, das Neueste zuerst.

Alle unerwarteten kürzlichen Änderungen sind einer genaueren Betrachtung wert. Das gilt auch, wenn der Dateiname harmlos aussieht.

Hier ist, wonach ich tatsächlich suche:

• PHP-Dateien, die sich dort befinden, wo sie nicht hingehören, insbesondere in wp-content/uploads, das nur Medien und keinen ausführbaren Code enthalten sollte
• Lange Zeichenketten zufällig aussehender Zeichen in einer Datei, oft das Ergebnis von eval(base64_decode()) oder ähnlicher Verschleierung, die verwendet wird, um bösartigen Code vor einem beiläufigen Lesen zu verbergen
• Eine Theme- oder Plugin-Datei, die geändert wurde, aber das Plugin selbst wurde nicht kürzlich aktualisiert
• Dateinamen, die fast richtig aussehen, wie wp-user.php neben dem echten wp-users.php

Wenn Sie vor Beginn dieser Infektion ein Duplicator-Backup erstellt haben oder Zugriff auf ältere Backups Ihres Hosters haben, vergleichen Sie die aktuellen Dateien mit dieser sauberen Version. Alles, was anders ist, ist entweder ein legitimes Update, das Sie vorgenommen haben, oder etwas, das erklärt werden muss.

Löschen Sie noch nichts. Bei diesem Schritt geht es darum, zu finden und zu notieren, was falsch aussieht, nicht darum, es zu beheben.

Ich habe Leute gesehen, die etwas Verdächtiges bemerkt, es sofort gelöscht und eine funktionierende Funktion entfernt haben, weil es sich herausstellte, dass es sich um eine legitime Plugin-Datei handelte, die nur unbekannt aussah. Bestätigen Sie, bevor Sie handeln.

Schritt 5: Überprüfen Sie Ihre Datenbank auf eingeschleusten Inhalt und fehlerhafte Benutzer

Dateiscanner übersehen diesen Schritt ständig, da es oft keine Datei gibt, die markiert werden kann. Die Infektion lebt vollständig in Ihrer Datenbank.

Ich habe Spam-Links gefunden, die ruhig in Post-Inhalten schlummerten und nie in einem Dateiscan auftauchten. Ich habe auch bösartige Weiterleitungen gefunden, die in Widget-Einstellungen versteckt waren, und Admin-Konten, die direkt in der Datenbank erstellt wurden, ohne dass es eine entsprechende Aktivität irgendwo anders in WordPress gab.

Öffnen Sie phpMyAdmin oder das Datenbanktool Ihres Hosters und überprüfen Sie diese Stellen:

• Die Tabelle wp_users. Achten Sie auf Admin-Konten, die Sie nicht kennen, insbesondere solche mit kürzlichen Registrierungsdaten, die Sie nicht erklären können.
• Post- und Seiteninhalte. Suchen Sie nach <script>-Tags, <iframe>-Tags oder unbekannten Links, die Sie nicht hinzugefügt haben. Eine schnelle Möglichkeit, dies zu tun, ist die Suche in der Tabelle wp_posts nach dem Begriff script oder einer verdächtigen Domain.
• Die Tabelle wp_options. Überprüfen Sie, ob die Werte siteurl und home mit Ihrer tatsächlichen Domain übereinstimmen. Malware ändert diese manchmal, um Besucher umzuleiten, ohne eine einzige Datei anzutasten.
• Widget- und Theme-Customizer-Einstellungen. Diese werden als serialisierte Daten in wp_options gespeichert und können injizierte Skripte enthalten, die nur für abgemeldete Besucher ausgeführt werden. Deshalb haben Sie beim Surfen auf Ihrer eigenen Website als angemeldeter Benutzer möglicherweise nichts bemerkt.

Wenn Sie ein fehlerhaftes Admin-Konto finden, löschen Sie es noch nicht.

Notieren Sie sich den Benutzernamen und das Erstellungsdatum. Diese Informationen benötigen Sie in Schritt 7, wenn Sie das Aktivitätsprotokoll überprüfen, um zu sehen, was dieses Konto tatsächlich getan hat.

Schritt 6: Führen Sie einen Malware-Scan für eine zweite Meinung durch

Alles bis zu diesem Punkt war manuell. Das deckt viel ab, aber nicht alles.

Führen Sie als zweite Meinung ein WordPress-Sicherheits-Scan-Tool gegen Ihre Website aus.

Wordfence und Sucuri's SiteCheck sind beides gängige Optionen. Jede prüft auf bekannte Malware-Signaturen, gängige Backdoor-Muster und die Integrität von Dateien im Vergleich zum ursprünglichen WordPress-, Plugin- und Theme-Code – schneller, als Sie es von Hand tun könnten.

Betrachten Sie die Ergebnisse als Querverweis, nicht als Urteil. Vergleichen Sie, was der Scan markiert, mit dem, was Sie bereits in Schritt 4 und 5 gefunden haben.

Wenn er etwas Neues anzeigt, untersuchen Sie es auf die gleiche Weise: Überprüfen Sie das Änderungsdatum, sehen Sie sich den Code an und bestätigen Sie, dass es sich nicht um eine legitime Datei handelt, bevor Sie sie anfassen.

Fehlalarme treten häufiger auf, als Sie erwarten würden. Ein Scanner könnte eine Plugin-Datei markieren, nur weil sie Code-Muster verwendet, die einer Verschleierung ähneln, auch wenn das Plugin völlig legitim ist.

Löschen Sie nichts allein aufgrund der Aussage des Scanners, wenn Ihre manuelle Überprüfung in Schritt 4 es nicht bereits markiert hat.

Schritt 7: Überprüfen Sie Ihr Aktivitätsprotokoll, um nachzuvollziehen, was wann geändert wurde

Bis jetzt haben Sie wahrscheinlich eine Liste von Verdächtigen: eine geänderte Datei, ein fehlerhaftes Admin-Konto oder eine injizierte Weiterleitung. Was Sie noch nicht haben, ist eine Zeitachse.

Dann kann das Activity Log-Plugin helfen.

Duplicator Pro's Activity Log zeichnet eine vollständige Audit-Trail von Änderungen auf Ihrer gesamten Website auf: Dateibearbeitungen, Plugin-Installationen, Benutzererstellung, Anmeldeversuche und Einstellungsänderungen. Jede wird mit einem Zeitstempel, einer Schweregradstufe und dem verantwortlichen Konto aufgezeichnet.

Das Aktivitätsprotokoll ist bei Duplicator Elite-Plänen automatisch kostenlos enthalten, um Ihnen zu helfen, Ihre Website vollständig zu sichern.

Öffnen Sie das Aktivitätsprotokoll und filtern Sie nach dem Zeitraum, in dem Sie die Symptome in Schritt 1 zum ersten Mal bemerkt haben.

Wenn Sie in Schritt 5 ein fehlerhaftes Admin-Konto gefunden haben, suchen Sie im Protokoll nach diesem Benutzernamen. Sie sehen dann:

• Wann das Konto erstellt wurde
• Von wo es sich angemeldet hat
• Was es getan hat, bevor Sie es erwischt haben

Dieser Zeitstempel ist wichtiger, als es im Moment scheint.

Er zeigt Ihnen, wie weit die Infektion zurückreicht, und das ist die Zahl, die Sie im nächsten Abschnitt benötigen, um herauszufinden, ob ein sauberes Backup tatsächlich existiert.

So entfernen Sie Malware, sobald Sie sie gefunden haben

Sie haben eine Liste dessen, was infiziert ist und ungefähr wann es angefangen hat. Jetzt ist es an der Zeit, es loszuwerden.

Hier ist, was Sie tun werden, in dieser Reihenfolge:

• Entscheiden Sie sich zwischen der Wiederherstellung eines Backups oder der manuellen Entfernung von Dateien: Welcher Weg sinnvoll ist, hängt davon ab, was Sie in Schritt 7 gefunden haben, und die falsche Wahl bedeutet entweder verschwendete Zeit oder eine wieder infizierte Wiederherstellung.
• Stellen Sie ein Backup vor der Infektion wieder her, wenn Sie eines haben: Die schnellste Lösung, wenn sie verfügbar ist, ersetzt alle infizierten Dateien und Datenbankeinträge in einem einzigen Vorgang.
• Entfernen Sie manuell infizierten Code, wenn Sie kein sauberes Backup haben: Löschen oder ersetzen Sie, was Sie in den Schritten 4 und 5 identifiziert haben. Es ist langsamer und riskanter, aber die einzige Option ohne einen sauberen Wiederherstellungspunkt.
• Schließen Sie die Tür, durch die die Malware eingedrungen ist: Andernfalls werden Sie diesen Monat wieder aufräumen, da das Wiederherstellen oder Löschen der Malware nicht die Schwachstelle berührt, die sie hereingelassen hat.

Schritt 1: Entscheiden Sie sich zwischen der Wiederherstellung eines Backups oder der manuellen Entfernung von Dateien

Nehmen Sie den gefundenen Zeitstempel und vergleichen Sie ihn mit Ihrer Backup-Historie.

Wenn Sie ein vollständiges Website-Backup von vor diesem Zeitstempel haben, ist die Wiederherstellung fast immer schneller und sicherer, als Dateien einzeln zu entfernen.

Eine Wiederherstellung ersetzt jede infizierte Datei und jeden Datenbankeintrag in einem Vorgang, einschließlich allem, was Sie in den Schritten 4 und 5 möglicherweise übersehen haben.

Wenn Ihre Infektion seit Wochen besteht und Ihr letztes sauberes Backup älter ist (oder Sie überhaupt kein Backup haben, das älter ist), ist eine Wiederherstellung keine Option. Sie entfernen die Infektion stattdessen manuell.

Überprüfen Sie dies jetzt, bevor Sie in diesem Abschnitt etwas anderes tun. Es entscheidet, welche der nächsten beiden Schritte Sie tatsächlich benötigen.

Schritt 2: Stellen Sie ein Backup vor der Infektion wieder her

Die Wiederherstellung eines sauberen Backups ist normalerweise der schnellste Weg, um nach einer Malware-Infektion wieder online zu gehen. Ich zeige Ihnen, wie Sie dies mit Duplicator tun.

Öffnen Sie Duplicator und gehen Sie zum Bildschirm Backups. Suchen Sie das Backup vor Beginn Ihrer Infektion und klicken Sie auf Wiederherstellen.

Duplicator führt Sie durch die Bestätigung des Backups und den Wiederaufbau Ihrer Website daraus. Wenn es fertig ist, entspricht Ihre Website genau dem Zustand vor der Infektion.

Ich habe dies mehr als einmal verwendet, um eine scheinbar stundenlange Bereinigung in eine zweisekündige Wiederherstellung zu verwandeln.

Wenn Ihre Website so schlecht ist, dass Sie sich nicht einmal in wp-admin einloggen können, sind Sie nicht festgefahren. Duplicator Pro ermöglicht es Ihnen, direkt wiederherzustellen, ohne dass WordPress zuerst geladen werden muss.

Laden Sie Ihre Sicherungsdateien erneut in das Stammverzeichnis Ihrer Website hoch und starten Sie von dort aus den Installer.

Ob Sie eine Sicherung wiederhergestellt oder die Dinge manuell bereinigt haben, Ihre Website ist jetzt vollständig sauber. Sie ist jedoch immer noch anfällig für die gleiche Infektion am nächsten Tag.

Sie werden wissen, dass es funktioniert hat, wenn die Malware-Warnzeichen verschwunden sind: keine Weiterleitungen, keine Pop-ups, keine Browser-Warnungen und ein sauberer Bericht, wenn Sie die Überprüfung der Sicherheitsprobleme der Search Console erneut ausführen.

Eine Sache, die eine Wiederherstellung nicht tut: Sie schließt nicht, was auch immer die Malware ursprünglich hereingelassen hat. Das ist der letzte Schritt, und wenn Sie ihn überspringen, stellen Sie eine saubere Website in dieselbe offene Tür wieder her.

Schritt 3: Entfernen Sie infizierten Code manuell

Das manuelle Entfernen von Malware ist der schwierigere Weg als die Wiederherstellung einer Sicherung. Es funktioniert, erfordert aber Geduld.

Bestätigen Sie, dass Sie eine Sicherung haben, bevor Sie in diesem Schritt etwas anfassen. Sie sind dabei, Dateien zu löschen und Datenbankeinträge direkt zu bearbeiten. Wenn Sie etwas falsch machen, ist diese Sicherung das, was zwischen einer schnellen Reparatur und einer kaputten Website steht.

Arbeiten Sie die Punkte ab, die Sie in Schritt 4 und 5 markiert haben:

• Löschen Sie die unbekannten Dateien, die Sie in Schritt 4 identifiziert haben: die verirrten PHP-Dateien, den verschleierten Code, die Dateien mit Namen, die fast richtig aussahen
• Entfernen Sie die eingefügten Inhalte, Spam-Links und fehlerhaften Admin-Konten, die Sie in Schritt 5 gefunden haben
• Wenn eine WordPress-Core-Datei geändert wurde, versuchen Sie nicht, sie manuell zu reparieren. Laden Sie eine frische Kopie von WordPress von wordpress.org herunter und ersetzen Sie die betroffenen Core-Dateien direkt.

Gehen Sie hier langsam vor. Löschen Sie eine Sache, prüfen Sie dann, ob Ihre Website immer noch lädt und die Funktion, zu der sie gehörte, noch funktioniert, bevor Sie mit der nächsten fortfahren.

Ich habe gesehen, wie ein Bereinigungsskript eine Datei gelöscht hat, von der ein Theme abhing, und damit die Homepage lahmgelegt hat. Dieser Fehler ist eine 2-Minuten-Reparatur, wenn Sie eine Sicherung haben, und eine viel längere, wenn Sie keine haben.

Sobald Sie alles auf Ihrer Liste abgearbeitet haben, führen Sie erneut einen Sicherheits-Scan durch, um sicherzustellen, dass nichts übersehen wurde.

Schritt 4: Schließen Sie die Tür, durch die die Malware eingedrungen ist

Ob Sie ein Backup wiederhergestellt oder die Dinge manuell bereinigt haben, Ihre Website ist jetzt vollständig sauber. Sie ist jedoch morgen immer noch anfällig für die gleiche Infektion.

Das Wiederherstellen oder Entfernen von Malware behebt nicht, was auch immer sie hereingelassen hat.

Arbeiten Sie dies durch, bevor Sie die Aufgabe als erledigt betrachten:

• Aktualisieren Sie, was auch immer die Malware hereingelassen hat. Wenn Schritt 4 oder Schritt 7 auf ein veraltetes Plugin, Theme oder eine veraltete WordPress-Core-Version hingewiesen hat, aktualisieren Sie es jetzt. Wenn Sie nicht sicher sind, welches, aktualisieren Sie alles.
• Ändern Sie alle Passwörter. Jedes Admin-Konto, plus Ihre FTP-, Hosting- und Datenbank-Zugangsdaten. Gehen Sie davon aus, dass alles, was während der Infektion zugänglich war, kompromittiert ist.
• Entfernen Sie alle Admin-Konten, die Sie in Schritt 5 nicht wiedererkannt haben, falls Sie dies noch nicht getan haben.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung für Admin-Konten, falls Sie dies noch nicht getan haben.

Dies ist der Schritt, den die Leute überspringen, weil die Website bereits gut aussieht und sich anfühlt, als wäre die Arbeit getan. Das ist sie nicht.

Eine Infektion, die durch ein veraltetes Plugin eingedrungen ist, wird durch dasselbe Plugin wieder eindringen, manchmal innerhalb von Tagen, wenn Sie eine saubere Website wiederherstellen, ohne das Loch zuerst zu stopfen.

Fehlerbehebung bei häufigen Fehlern

Nicht jede Malware-Sicherheitsüberprüfung verläuft reibungslos. Hier ist, was zu tun ist, wenn es nicht so ist.

Sie können sich überhaupt nicht bei wp-admin anmelden

Was Sie sehen: Die Anmeldeseite wird geladen, aber Ihre Anmeldedaten funktionieren nicht oder die Seite leitet woanders hin.

Warum es passiert: Malware ändert manchmal Administratorpasswörter, löscht Administrator-Konten oder ändert den Wert von siteurl in der Datenbank, um die Anmeldeseite umzuleiten.

So beheben Sie es: Verwenden Sie die Notfall-URL von Duplicator Pro, um ein sauberes Backup wiederherzustellen, ohne dass wp-admin zuerst geladen werden muss.

Wenn Sie Duplicator noch nicht installiert haben, benötigen Sie direkten Datenbank- oder Dateizugriff über Ihren Hoster, um Ihr Administratorpasswort zurückzusetzen oder den Wert von siteurl manuell zu korrigieren.

Der Scanner meldet "sauber", aber etwas fühlt sich immer noch nicht richtig an

Was Sie sehen: Ein Malware-Scan liefert keine Ergebnisse, aber Sie sehen immer noch Symptome.

Warum es passiert: Scanner sind gut bei bekannten Signaturen, aber nicht bei benutzerdefinierten oder reinen Datenbankinfektionen. Ein bösartiges Administratorkonto oder eine weitergeleitete Weiterleitung in wp_options löst nicht immer einen dateibasierten Scan aus.

So beheben Sie es: Gehen Sie manuell zurück zu Schritt 4 und 5. Achten Sie besonders auf die Datenbankprüfungen in Schritt 5, da dies die Kategorie ist, die Scanner am häufigsten übersehen.

Sie haben die infizierte Datei gefunden, sind sich aber nicht sicher, ob sie gelöscht werden kann

Was Sie sehen: Eine Datei sieht verdächtig aus, befindet sich aber in einem Plugin- oder Theme-Ordner, den Sie tatsächlich verwenden.

Warum es passiert: Malware wird oft direkt in bestehende Plugin- oder Theme-Dateien injiziert, anstatt als neue Datei hinzugefügt zu werden, gerade damit sie schwerer von legitimen Code zu unterscheiden ist.

So beheben Sie es: Vergleichen Sie die Datei mit einer frischen Kopie dieses Plugins oder Themes, die direkt von der offiziellen Quelle heruntergeladen wurde. Wenn sich der Code vom Original unterscheidet, ist der Unterschied Ihre Infektion. Ersetzen Sie die gesamte Datei, anstatt zu versuchen, nur den verdächtigen Teil herauszubearbeiten.

Ihr Backup könnte bereits infiziert sein

Was Sie sehen: Sie versuchen, ein Backup wiederherzustellen, sind sich aber nicht sicher, ob es vor der Infektion liegt.

Warum es passiert: Malware kann wochenlang unentdeckt bleiben. Wenn Ihr letztes Backup in diesem Zeitraum erstellt wurde, bringt die Wiederherstellung des Backups die Infektion zurück.

So beheben Sie es: Vergleichen Sie den Zeitstempel des Aktivitätsprotokolls mit Ihren Sicherungsdaten. Stellen Sie das letzte Backup wieder her, das älter als dieser Zeitstempel ist, auch wenn dies bedeutet, dass einige Inhalte dazwischen verloren gehen. Eine leicht veraltete saubere Website ist besser als eine aktuelle infizierte.

Die Malware kehrt immer wieder zurück, nachdem Sie sie entfernt haben

Was Sie sehen: Sie bereinigen die Website, und innerhalb weniger Tage treten die gleichen Malware-Symptome wieder auf.

Warum es passiert: Die Schwachstelle, die die Malware beim ersten Mal hereingelassen hat, ist immer noch offen, sodass derselbe Angriff auf dieselbe Weise zurückkommt.

So beheben Sie es: Aktualisieren Sie veraltete Software, ändern Sie jedes Passwort und entfernen Sie alle Administrator-Konten, die Sie nicht wiedererkannt haben. Wenn Sie nicht sicher sind, was sie hereingelassen hat, überprüfen Sie das Aktivitätsprotokoll auf das Datum der ersten verdächtigen Aktion.

Nichts davon funktioniert

Wenn Sie diese gesamte Checkliste durchgearbeitet haben und immer noch feststecken oder die Infektion zu umfangreich ist, um sie selbst zu isolieren, lohnt es sich, zu diesem Zeitpunkt einen professionellen Reinigungsdienst einzuschalten.

Eine verifizierte saubere Backup-Wiederherstellung, falls vorhanden, ist immer noch Ihr schnellster Weg zurück zu einer funktionierenden Website, während Sie den Rest klären.

Häufig gestellte Fragen (FAQs)

Malware frühzeitig erkennen ist besser als sie später zu bereinigen

Sie haben jetzt einen echten Prozess zur Überprüfung und Behebung von Malware, nicht nur einen Scan-and-Hope-Ansatz.

Sie wissen, auf welche Warnzeichen Sie achten müssen, wie Sie Ihre Dateien und Datenbank auf das überprüfen, was die meisten Scanner übersehen, und wie Sie genau verfolgen, wann und wie eine Infektion begonnen hat, indem Sie Ihr Aktivitätsprotokoll verwenden.

Wenn Sie etwas gefunden haben, wissen Sie auch, ob Sie manuell wiederherstellen oder bereinigen müssen und was danach geschehen muss, damit es nicht sofort wiederkommt.

Behandeln Sie dies nicht als einmalige Lösung.

Die Websites, die wiederholte Infektionen vermeiden, sind diejenigen, die regelmäßig überprüfen, nicht diejenigen, die nur dann nachsehen, wenn bereits etwas sichtbar falsch ist. Richten Sie eine wiederkehrende Erinnerung ein, wöchentlich, wenn Sie es einrichten können.

Eine weitere Sache, die es wert ist, wenn Sie zuversichtlich sind, dass die Website sauber ist: Fordern Sie eine Überprüfung in der Google Search Console unter dem Bericht „Sicherheitsprobleme“ an.

Google weiß nicht automatisch, dass Sie etwas behoben haben. Bis Sie diese Überprüfung anfordern und sie abgeschlossen ist, können Browserwarnungen und Such-Snippet-Markierungen auch auf einer vollständig bereinigten Website bestehen bleiben, was Sie Traffic für eine bereits behobene Infektion kostet.

Schützen Sie Ihre Website vor der nächsten Infektion

Die Checkliste in diesem Beitrag funktioniert, aber sie erfordert Zeit, die Sie nicht immer haben, wenn Sie bereits mit einer aktiven Infektion zu tun haben.

Ein aktuelles Backup und eine vollständige Aktivitätsspur verwandeln dieselbe Situation in eine zweiminütige Wiederherstellung anstelle einer mehrstündigen Bereinigung. Das ist der Unterschied zwischen dem frühen Erkennen und dem zu späten Erkennen.

Über 1,5 Millionen WordPress-Profis verwenden Duplicator Pro, um sicherzustellen, dass eine saubere Version ihrer Website immer nur eine Wiederherstellung entfernt ist, mit Activity Log, um ihnen genau zu sagen, wann sich etwas geändert hat. Schließen Sie sich ihnen für eine sicherere Website an!

Wenn dieses Tutorial hilfreich war, sind diese Anleitungen auch lesenswert.

• 4 WordPress-Malware-Entfernungs-Plugins, die infizierte Dateien bereinigen
• So bereinigen Sie eine WordPress-Website
• Was tun, wenn Sie aus WordPress ausgesperrt sind
• So stellen Sie eine gehackte WordPress-Site wieder her
• So optimieren Sie Ihre WordPress-Datenbank: In 10 Schritten zu einer schnellen Website
• So schützen Sie Ihre Website vor Hackern