Wie besmette bestanden direct weggooit, wist ook het spoor. Je weet dan niet hoe iemand binnenkwam, dus je weet ook niet of hij nog binnen is. De eerste stappen gaan daarom over vastleggen en afsluiten, niet over schoonmaken.
De volgorde
- Maak een volledige kopie van bestanden en database, ook al is die besmet. Dit is je bewijsmateriaal.
- Zet de site op onderhoud of tijdelijk offline, zodat bezoekers geen schade oplopen.
- Kijk wie er kan inloggen en verwijder accounts die je niet kent.
- Vernieuw de toegangen: beheerders, database, hosting, en de sleutels in je configuratie.
- Bewaar de logbestanden voordat ze door rotatie verdwijnen.
Wat je nog niet doet
Een oude back-up terugzetten. Als je niet weet wanneer het begon, zet je de hack gewoon terug. Eerst vaststellen vanaf welke datum je schoon bent, dan pas herstellen.
Daarna pas opruimen
Vergelijk je bestanden met een schone versie, herstel wat is aangepast en controleer de database op toegevoegde beheerders, snippets en verwijzingen. Een schone installatie met je eigen inhoud erin is vaak sneller en zekerder dan alles handmatig nalopen.
Het onderzoek dat erbij hoort
Sluit af met de vraag hoe iemand binnenkwam. Zonder antwoord daarop is de kans groot dat je binnen een paar weken opnieuw begint.