Mijn WordPress website verstuurt spam, wat nu?

28 mrt 2015

4 reacties

Je krijgt een melding van je hosting provider dat je website spam verstuurt. Of je krijgt een bericht van Google dat je website als onveilig wordt opgemerkt.

Nadat je deze melding ontvangt, komen er vaak diverse vragen bij je op die ik hieronder voor je beantwoord:

Wat betekent het als de website spam verstuurt?

Je website is geïnfecteerd met een bestand dat e-mails verstuurt naar een adressenlijst.

Wat is spam?

Spam is ongewenste reclame. In die e-mails worden vaak producten verkocht waar je liever niets mee te maken wilt hebben. Denk aan viagra, zogenaamde wondermiddeltjes en andere aan geprijsde producten.
Vaak zijn de e-mails en producten nog in het engels ook. De e-mails zijn bedoeld om de massa te bereiken.

Het grootste nadeel wanneer je website spam verstuurt

Met de uitgaande e-mails naar vreemden die je niet kent valt nog te leven. Het opgegeven antwoord-adres dat gebruikt wordt, is van een ander dus je zult zelf geen reacties terug krijgen.
Wat echter vervelender is, dat is de stap die instanties nemen wanneer je website spam verstuurt.
De instanties blokkeren namelijk het ip adres waar de spam berichten vandaan komen. Wat betekent dat alle e-mail van jouw ip adres niet meer aankomt bij andere personen of bedrijven.
In technische termen zetten ze je ip adres van de website op de blacklist.
Als je jouw e-mail zakelijk gebruikt, is dit dus een ramp!

Hoe kun je contoleren of je op de blacklist staat?

Er zijn diverse websites waarmee je kunt controleren of je op een blacklist staat. 1 van de beste is www.mxtoolbox.com
Je vult je website adres in en selecteert: “blacklist”, waarna mxtoolbox een lijst met bedrijven controleert die de controle hebben over het wel-of-niet doorlaten van e-mailverkeer.

Hoe kom je van de blacklist af?

De blacklist verwacht dan dat je het probleem oplost. Kortom je moet het bestand dat verantwoordelijk is voor het spammen van je server verwijderen.
Pas nadat je 100% zeker bent dat je het spamscript of meerdere bestanden hebt verwijderd, kun je een de-listing aanvragen.
Bij een de-listing halen ze je website van de blacklist af wat enkele uren kan duren.

Maar let op: als je een de-listing aanvraagt terwijl je website nog spamt kom je snel weer op de blacklist en de 2e keer duurt het een stuk langer voordat je daadwerkelijk van de blacklist afgehaald wordt.

Hoe vind ik een spam bestand?

Om een spam bestand te kunnen vinden heb je een stukje achtergrondkennis nodig, je kunt een spam/virus bestand aan diverse kenmerken herkennen.

1. Je herkent een spam bestand aan de extensie. Een spam bestand is een uitvoerend script en dus .php
2. Een spam bestand is vaak geschreven en gecodeerd door middel van eval/base 64 wat betekent dat je geen reguliere php ziet als je het bestand opent met een code editor. Je zult een lange reeks van cijfers en letters zien staan.
3. Logischerwijs kun je een nieuwe WordPress installatie vergelijken met wat er op je server staat. Zo vind je bestanden die toegevoegd zijn en wellicht niet thuis horen in de website.
4. Qua benaming kun je helaas weinig beginnen aangezien ze vaak namen verzinnen zoals object.php of wp-configure.php die enorm veel lijken op de huidige bestanden. Maar als je een doorgewinterde WordPress programmeur bent zoals Wpbeveiligen, pik je de bestanden die niet thuishoren op de site er sneller tussenuit.
5. Als je kijkt naar de plaatsingsdatum van het bestand op de server, kun je vaak zien dat deze datum afwijkt van de rest van de bestanden die tijdens de installatie op 1 datum staan.

Is het probleem opgelost als het spamscript verwijderd is?

Nee, dan is het probleem niet opgelost aangezien een spamscript op een bepaalde manier op de server terecht gekomen is en die methode niet verdwijnt na het verwijderen van het spamscript.

Enkele manieren hoe een spamscript op de server terecht kan komen

Een spamscript wordt via een lekke plugin op de server geplaatst, via een injectie of via de ftp.
WordPress biedt diverse mogelijkheden waarmee bestanden naar de website geschreven kunnen worden:

• De media uploader
• De plugin updater
• Diverse plugins die rechten hebben om bestanden aan te passen

Die manieren worden ge-automatiseerd door scripts benut.

Wanneer je dus alleen het geschreven bestand verwijdert wat de spam verstuurt, komt het ge-automatiseerde script vanzelf weer langs om het weer op de server te zetten.

Voorkomen dat je een spamscript op de server krijgt

Er zijn diverse manieren om te voorkomen dat je op speurtocht moet naar spamscripts en bestanden die hackers toegang verschaffen tot je server, enkele daarvan kun je lezen in het artikel over de WordPress beveiliging verbeteren en in het artikel wat bespreekt wat je vooral niet moet doen als je WordPress veilig wilt houden.