A palestra aborda como limpar um site WordPress após um ataque de hackers, direcionada a proprietários de sites WordPress e entusiastas. O processo inclui identificar e remover hacks, restaurar arquivos, validar a integridade do sistema e aplicar atualizações de segurança. Além disso, sugere medidas de proteção e pós-hack para melhorar a segurança do site.

1. Como Limpar
Seu Site WordPress
#PergunteaSucuri

2. Organização desta palestra
1. Apresentação Pessoal
2. Para quem é esta palestra?
3. Wordpress: Uma visão geral
4. Informações Gerais
5. Passo 1: Identificação de Hacks
6. Passo 2: Remoção de Hacks
7. Passo 3: Pós-Hack
8. Perguntas & Respostas

5. Para quem é essa palestra?
• Para qualquer pessoa que tenha um site Wordpress
• Para qualquer pessoa que goste de dados sobre Wordpress
• Para qualquer pessoa que que já foi hackeada
• Para qualquer pessoa que quer proteger seu site

6. Wordpress: Uma visão geral
• Depende de PHP & MySQL
• Usado por mais de 25% dos sites no mundo
• Permite ter un site sem conhecimentos de HTML e Javascript.
• O repositório de Plugins tem mais de 1 bilhão de downloads

9. Por que WordPress?
WordPress é o CMS mais
usado na internet. Por isso,
também é o que mais sofre
com ataques de hackers.

12. Antes de Proteger Su Sitio Web, es necesario
verificar se el sitio web ha sido infectado

16. PASSO 1:
IDENTIFICAR O HACK
I. Instale o plugin GRATUITO – Sucuri Security

17. Para instalar o plugin de segurança Sucuri:
1. Entre no WordPress como admin e selecione Plugins > Add New
2. Digite Sucuri Scanner
3. Clique em Install Now no Sucuri Security - Auditing, Malware
Scanner and Security Hardening.
4. Ative seu plugin

18. Para escanear o WordPress em busca de hacks usando
o plugin Sucuri:
1. Entre no WordPress como admin e selecione Sucuri Security >
Malware Scan.
2. Clique em Scan Website.
3. Se o site estiver infectado, você verá uma notificação como a
que aparece na captura de tela abaixo.

19. PASSO 1:
IDENTIFICAR O HACK
II. Escaneie Seu Site

20. PASSO 1:
IDENTIFICAR O HACK
III. Verifique a Integridade dos Arquivos Core
[dir] wp-admin
[dir] wp-includes
index.php
license.txt
readme.html

21. Para verificar a integridade de arquivos core usando o plugin
da Sucuri:
1. Entre no WordPress como admin e selecione
Sucuri Security > Dashboard.
2. Observe o Status da seção Core Integrity.
3. Qualquer arquivo modificado, adicionado ou
removido pode ser parte do hack.

22. PASO 1:
IDENTIFICAR EL HACK
IV. Verifique os Arquivos Modificados

23. Para verificar arquivos modificados recentemente usando o
plugin Sucuri:
1. Entre no WordPress como admin e selecione
Sucuri Security > Dashboard.
2. Observe o Status da seção Audit Logs e procure
por mudanças recentes.
3. Modificações desconhecidas nos últimos 7-30 dias
podem ser suspeitas.

24. PASSO 1:
IDENTIFICAR O HACK
V. Confirme Logins de Usuários

25. Para verificar logins recentes usando o plugin Sucuri:
1. Entre no WordPress como admin e selecione
Sucuri Security > Last Logins.
2. Confirme a lista de usuários e a hora que eles
fizeram login.
3. Datas ou horas de login inusitadas podem indicar
que uma conta de usuário foi hackeada.

26. Antes da limpeza, compare uma cópia do
seu site atual com um backup limpo.

27. PASSO 2:
REMOVER O HACK
I. Limpe Arquivos Hackeados do Seu Site

28. Para reparar arquivos core usando o plugin Sucuri:
1. Entre no WordPress como admin e selecione Sucuri Security > Dashboard.
2. Verifique as notificações na seção Core Integrity.
3. Selecione os arquivos Modified e Removed e a ação Restore source.
4. Cheque a caixa para confirmar I understand that this operation can not
be reverted.
5. Clique Proceed.
6. Selecione os arquivos Added e escolha a ação Delete file.

29. PASSO 2:
REMOVER O HACK
II. Limpe Tabelas Hackeadas da Base de Dados
WP-CLI
Search-Replace-DB
Adminer

30. Use o seu painel admin para se conectar com a base de dados
1. Entre no admin panel da sua base de dados (database).
2. Faça um backup da base de dados antes de fazer modificações.
3. Procure por conteúdo suspeito (i.e., palavras-chave spammy, links).
4. Abra a tabela que contém o conteúdo suspeito.
5. Remova manualmente o conteúdo suspeito.
6. Teste para verificar se o site ainda está operacional após as mudanças.
7. Remova todas as ferramentas de acesso a base de dados que você usou

31. PASSO 2:
REMOVER O HACK
III. Proteja Suas Contas de Usuário

32. Para resetar senhas de usuários usando o plugin Sucuri:
1. Entre no WordPress como admin e selecione Sucuri Security
> Post-Hack.
2. Clique em Reset User’s Password tab.
3. Cheque a caixa perto da conta do usuário que pode ter
sido comprometido.
4. Cheque a caixa para confirmar I understand that this
operation can not be reverted.
5. Clique em Reset User Password.

33. Onde?
• Dentro de arquivos com nomes semelhantes aos
arquivos core do WordPress no diretório errado.
• Injetados em arquivos como o wp-config.php e
diretórios como /themes, /plugins, e /uploads.

34. PASSO 2:
REMOVER O HACK
IV. Remova Backdoors Escondidos
• base64
• str_rot13
• gzuncompress
• eval
• exec
• create_function
• system
• assert
• stripslashes
• preg_replace (with /e/)
• move_uploaded_file

35. É hora de consertar os problemas que
podem ter causado o hack e melhorar a
segurança do seu site WordPress.

36. PASSO 2:
REMOVER O HACK
V. Remova Notificações de Malware

37. PASSO 3:
PÓS - HACK
Para aplicar atualizações no WordPress
manualmente:
1. Entre no seu servidor via SFTP ou SSH.
2. Faça o backup do seu site e da base de dados
(especialmente de conteúdo customizado).
3. Remova manualmente os diretórios wp-admin e wp-
includes.
4. Substitua o wp-admin e o wp-includes usando cópias do
repositório oficial do WordPress.
5. Remova manualmente e substitua plugins e temas com
cópias de fontes oficiais.
6. Entre no WordPress como admin e clique em Dashboard
> Updates.
7. Aplique quaisquer atualizações que estejam faltando.
8. Abra seu site para verificar se ainda está operacional.

38. PASSO 3:
PÓS - HACK
Para resetar senhas de usuários, usando o
plugin Sucuri:
1. Entre no WordPress como admin e selecione Sucuri
Security > Post-Hack.
2. Vá ao tab Reset User’s Password.
3. Cheque a caixa próxima à conta do usuário que você
acredita que foi comprometida.
4. Cheque a caixa para confirmar I understand that this
operation can not be reverted.
5. Clique em Reset User Password.
6. O usuário receberá um email com uma senha forte
temporária.

39. PASSO 3:
PÓS - HACK
Para gerar novas chaves secretas
usando o plugin Sucuri:
1. Entre no WordPress como admin e selecione
Sucuri Security > Post-Hack.
2. Clique em Security Keys.
3. Clique em Generate New Security Keys.
4. Todos os usuários serão forçados a sair do painel
do WordPress.

40. PASSO 3:
PÓS - HACK
II. Hardening Wordpress

41. Para fazer harden do WordPress usando o plugin Sucuri:
1. Entre no WordPress como admins no Sucuri Security > Hardening.
2. Leia as opções para entender o que elas fazem.
3. Clique no botão Harden para aplicar as recomendações.

42. PASSO 3:
PÓS - HACK
III. Configure Backups

43. PASSO 3:
PÓS - HACK
IV. Escaneie seu Computador
• Malwarebytes
• Avast
• Microsoft Security Essentials
• Avira

44. PASSO 3:
PÓS - HACK
V. Firewall de Sites

45. • https://sucuri.net/es/seguridad-de-sitios-web/informes-de-hacks/informe-de-
sitios-web-hackeados-t2-2016
• https://sucuri.net/es/guias/como-limpiar-wordpress-hackeado
• https://sucuri.net/es/seguridad-de-wordpress/instalacion-del-plugin-wordpress
• https://sucuri.net/es/seguridad-de-sitios-web/remocion-de-malware.php
Juliana Cid Lewis Laraburu |
juliana@sucuri.net