Wordpress pharma hack;

Son zamanlarda özellikle wordpress sitelerinde karşılaşılan bu saldırı türü ile ilgili bir başlığın faydalı olacağını düşündük, zira internette bununla ilgili pek fazla Türkçe kaynak yok. (Biz bu yazıyı yayınladıktan sonra birçok site cümle sonlarımızı falan değiştirerek kopyalamış aslında ama. Aslı taklitten her zaman iyidir. Ayrıca yazıyı 2019 itibarıyla güncellediğimizi de belirtmekte fayda var.)

Pharma Hack Nedir?

diye soracak olursak; aslında tam ismi bu olmayabilir. Buna spam hack, pharma hack yada google cloaking hack gibi verilen isimler var. Tam bir ismi olmadığı için şimdilik ona bu şekilde hitap edebiliriz. Çoğunlukla wordpress içerik yönetim sisteminde karşılaşılan bu durum genelde sitenizin toplu bir hack olayına kurban gitmesiyle başlıyor. Genelde de sitenizin arama motorlarındaki görüntüsünü ve sıralamasını etkiliyor.

Siteniz size aynı şekilde görünebiliyor, dolayısıyla normal bir ziyarette bu durumu fark edemeyebilir siniz. Fakat arama motorlarında (özellikle google’da) sitenizin başlığı ve açıklaması farklı bir şekilde görünebiliyor. Burada zaman zaman pornografik içerikle karşılaşıldığı gibi çoğunlukla çince veya japonca bir takım metin görebilmeniz mümkün. Açılış sayfanızın yönlendirilmesi sonucu google bir süre sonra dizinde sitenizin bağlantısının altına “bu web sitesi saldırıya uğramış olabilir” notunu düşüyor. Belli bir süre sonra tamamen dizinden kaldırması yada sansürlenmeside olağan. Aynı zamanda sitenizde hemen çıkma oranı artacağı için seo açısından onarımı zor tahribat yaratabilir.

Peki bunun sebebi ne?

Neden benim sıradan blog sitemi yada hiçbir popülaritesi olmayan kurumsal web sitemi hacklemek istesinler diye düşünebilirsiniz. Fakat pharma hack genelde sadece sizin sitenizi hedef alan bir saldırı değil. Bu baştada belirttiğimiz üzere toplu bir saldırı. Web sitelerine çoğunlukla warez tema veya eklentilerle bulaşan zararlı bir kod parçası. Bu bir js dosyası ve bir php dosyası içerisinde de olabilir. Hosting hesabınızdaki dosyalar üzerinde bazı değişiklikler yapılabilmesini sağlıyor. (eskiden c99 veya r57 shell vardı, bunlar gibi düşünebilirsiniz). Bu değişiklikler lede web sitenizin yayınını tam olarak kesmeden, farklı içerikler yerleştirilebiliyor. Siteniz ziyaretçiler için aynı görüntüde kalsa bile arama motorlarına farklı görünüyor. Arama motorları da sitenizde bu yabancı ve zararlı içeriğe yer verdiğinizi, link verdiğinizi düşünüyor. Ayrıca burada siteniz üzerinden bir trafik alabilmelerini de sağlıyor.

Bundan nasıl kurtulacağız?

Bu tarz bir durumla karşı karşıya kaldığınızda, öncelikli olarak ne tür bir saldırıya maruz kaldığınızı saptamanız gerekiyor. Burada birden fazla yöntem var çünkü. Url yerleştirme, içerik yerleştirme veya kod yerleştirme gibi. Bunlarla ilgili google tarafından paylaşılan dokümanlara isimlerine tıklayarak ulaşabilirsiniz. Google saldırıyı nasıl doğrulayabileceğiniz ve savuşturabileceğiniz hakkında ciddi bilgilendirme ve ipuçları veriyor.

Bu tarz bir durumla karşılaştığınızda ilk yapmanız gereken ne tür saldırıya maruz kaldığınızı öğrenmek ve google tarafından önerilen işlemleri uygulamak. Google webmaster tools sayfası da size konu hakkında yardımcı olacaktır. Sitenizi google webmaster araçları konsolunda doğrulayın ve güvenlik önerileri kısmını inceleyin. Buradan hangi tür saldırıyla karşılaştığınızı ve nereden devam edeceğini öğrenebilirsiniz. Google tarafından sunulan önerilerden ziyade, mutlaka hosting sağlayıcınızla da durumu görüşün ve önerilerini alın. Bu durumla karşılaşan mağdurların yaklaşık %-60ı hosting sağlayıcısından aldıkları destek sayesinde bu sorundan kurtulmuşlar.

Ek olarak, bir müşterimizin wordpress sitesi için bu konu hakkında yazdığım ticket yanıtını da siz okuyucularımıza  göre güncelleyerek aşağıya eklemek istiyorum. Müşterimiz bu tavsiyeleri uygulaması sonucu çok kısa bir sürede bu sorundan kurtulduğunu söylüyor.

Yapılacaklar;

“Merhaba,

Google a bu sitenin yeniden değerlendirilmesi için webmaster araçları üzerinden yeni bir bildirim gönderdim, benzer sorunlarla karşılaştığınız web siteleri için;

1. İlk olarak sitenizin tam bir yedeğini alın.
2. Web sitenizin ne tür bir saldırıya maruz kaldığını anlamak için güvenliğinizi araştırın. Google search console da sitenizle ilgili gelen güvenlik mesajlarını kontrol edin ve örnek url lerle ilgili bilgileri toplayın. Bu örnek linkleri sucuri sitecheck taramasıyla blacklistlerde kontrol edin.
3. Eğer elinizde sitenizin eski tarihli bir yedeği varsa bu yedeği yükleyerek zararlı içerik olup olmadığını kontrol edin. Eğer zararlı içerik yoksa ve içerik kaybınız olmayacaksa bu sürümü kullanarak 9uncu maddeye kadar tüm maddeleri atlayabilirsiniz. Zararlı içeriğin tamamen temizlendiğinden emin olmak için  search console daki google gibi getir aracından sitenin botlar tarafından nasıl okunduğunu inceleyin. Bir antivirüs ve sucuri servisiyle tarama yapın. Eğer yedeğinizde virüslüyse yedek yerine güncel sitenizle 4üncü maddeden devam edin.
4. Wordpress.org resmi sitesinden wordpress’in son sürüm dosyalarını indirin ve config.php dosyasıyla wp-content dizini dışındaki tüm dosya klasörlerin üzerine orijinallerini yazdırın. (Manuel güncelleme yapın). Bu işlem virüsü %90 ihtimalle temizleyecektir fakat virüsün bulaştığı açık kapatılmadıkça tekrar bulaşabileceğini unutmayın. Eğer wordpress pharma hack virüsü temizlendiyse 9uncu adıma geçerek önlemleri okuyun. Temizlenmemişse 5inci maddeyle devam.
5. Wordpress sitelerinde bu virüsü en can sıkıcı hale getiren sebep, yukardaki maddelerin virüsü temizleyememiş olmasıdır. Burası önemli, bu virüsler 2019 yılı itibarıyla evrim geçirdiler ve turkcoder.net olarak bu konuyu tekrar yazdık. Olay şu ki; bu virüsler artık genellikle temanızın functions.php dosyasına saklanıyorlar, ve şifrelenmiş bir şekilde. Bunu sucuri taramasında veya anti virüs taramasında bulma ihtimaliniz var. Ama eğer sucuri bunu göremiyorsa ve search console’a bu virüsle ilgili örnek url eklenmemişse temanızın fonksiyon dosyasını açın ve okuyun. Bu dosyada şifreli bir kısım varsa veya password koruması tarzı kodlar görüyorsanız direk olarak temanızın orijinal fonksiyon dosyasıyla değiştirin. Eğer manuel değişiklikler yapmadıysanız temanızı komple üstüne yazdırın veya child-theme kullanarak dosyaları orijinalleriyle değiştirin. Kullandığınız eklenti ve temaların wordpress deposundan veya (themeforest vb.) güvenilir kaynaklardan indirilmiş orijinal ve en güncel versiyon olduklarından emin olun.
6. Cpanel aracılığıyla hosting hesabınızdaki tüm dosyalar üzerinde virüs taraması yapın. Eğer cpanelinizde anti virüs yoksa barındırma firmanızdan imunify tarayıcı yüklemelerini isteyin, eğer bunu hemen yapamıyorlarsa dosyalarınızı indirin ve kendiniz taratın. Anti virüsünüzün uyardığı dosyaların standart wordpress cms eklenti veya tema dosyası olmaması durumunda bunları hosting hesabınızdan silin ve  yüklemeyin.
7. Tüm bunlara rağmen eğer sitenizde hala zararlı bir kod parçacığı hala görünüyorsa public_html deki tüm dosyaları indirin. Klasörde *.js ve *.php aramaları yaparak bu dosyaları listeleyin. Tümünü seçin ve notepad++ la açarak kodu tüm dosyalarda aratın, bi miktar ram harcayabilir ve zaman alabilir. Eşleşen dosyaları orijinalleriyle değiştirin, orijinal değilse silin. Eğer search console yada sucurinin verdiği zararlı kod/bağlantı burada da çıkmazsa bu kez phpmyadmin aracılığıyla aratın. Bazı sitelerde hacklenme sonrası bu zararlı kod parçacıklarının postların altına yani veri tabanına  eklendiğine de tanıklık ediyoruz.
8. Tüm dosyaları ve veritabanını taradınız hala sitenizde zararlı içerik uyarısı alıyorsanız öncelikle sucurinin size sonucu önbellekten gösterdiğini söylemeliyim. Yeni bir tarama yapmak için sonuçlar sayfasında sayfanın alt kısmında önbelleği temizle ve tekrar tara linkini göreceksiniz. Önbelleği de temizlediğiniz halde hala zararlı içerik görünüyorsa; wordpress aktarıcısıyla içeriğinizi tüm içeriği dışa aktarın; hosting hesabınızı terminate edin. Wordpress i, temanızı ve eklentilerinizi tekrar yükledikten sonra aktarıcıyı tekrar çalıştırarak içeriğinizi tekrar yükleyin. Aktarıcının revolution slider gibi harici eklenti içeriklerini ve tema ayarlarını yedeklemeyeceğini unutmayın. Bunları ilgili tema/eklentilerin kendi panelleri üzerinden dışa/içe aktarın. Aktarıcı ilk tercihiniz olmasın diye tüm işlemlerin sonunda yazıyoruz. Çünkü yüksek içeriğe sahip sitelerde dışa/içe aktarma genelde php limitlerine veya cpu/ram limitlerine takılıyor. Ayrıca bazı içeriklerin aktarıcıya dahil olmayışı(smtp ayarları vb gibi) süreci uzatabiliyor. Bu işlemleri yaparken aktarıcıyla ilgili zaman aşımı vb. hatayla karşılaşmanız durumunda hosting sağlayıcınızdan limitler konusunda yardım isteyin. Bu işlem wordpress pharma hack virüsünü tamamen temizleyecektir.
9. Hosting hesabınızın güncel php / sql sürümünü çalıştırdığından emin olun. Değilse cpanelinizde easy apachenin veya cloudlinux un multiphp yöneticisi aracılığıyla güncel ve stabil sürümü seçin. Eğer seçicide yoksa hosting sağlayıcınızdan güncel sürümü yüklemesini isteyin.
10. Hosting hesabınıza ait tüm ftp-cpanel/mysql/wordpress vb. şifreleri karmaşık güçlü şifreler kullanarak değiştirin. Bu şifreleri başka sitelere üye olurken kullanmadığınızdan emin olun.
11. Dosya ve klasör izinlerini kontrol edin. Güvenliğiniz için aksi gerekmedikçe chmod değeri (permission) klasörler için 755, dosyalar içinse 644 değeri yeterlidir.
12. Google webmaster araçları konsolundan yeniden değerlendirme talebinde bulunun. Talebin detaylarına yaptığınız işlemleri yazabilirsiniz. Bu işlemleri sırasıyla yapın ve dosya kopyalaması yapacağınız wordpress cms eklenti ve tema sürümlerinin aynı olmasına dikkat edin. Ayrıca listelendiğiniz diğer blacklistler için de gerekli işlemleri uygulayın.”