Je WordPress-site laadt plotseling een vreemde pagina. Een klant belt om te melden dat zijn antivirusprogramma jouw website blokkeert. Of Google Search Console stuurt een melding: er is schadelijke software gevonden op jouw domein.
Malware op een website is vervelend, maar het is oplosbaar. Wat telt is hoe snel je handelt en hoe grondig je het aanpakt. Want een halfslachtige schoonmaakbeurt is erger dan geen: de malware blijft aanwezig, de hacker houdt toegang, en het probleem keert terug.
In dit artikel leggen wij stap voor stap uit hoe je malware van een website verwijdert, hoe je controleert of de schoonmaak volledig is, en hoe je voorkomt dat het terugkomt.
Wat is malware op een website?
Malware, een samentrekking van malicious software, is kwaadaardige code die zonder jouw toestemming op jouw website is geplaatst. Het doel kan variëren: bezoekers omleiden naar andere sites, klantgegevens stelen, jouw server gebruiken voor spamverzending, of cryptovaluta minen met jouw serverresources.
Het verraderlijke van website-malware is dat het zichzelf zoveel mogelijk verbergt. Een hacker die ontdekt wordt, verliest zijn toegang. Daarom is malware vaak wekenlang of zelfs maandenlang actief voordat de eigenaar het doorheeft.
Hoe komt malware op een website?
De meest voorkomende ingangen:
Verouderde software. WordPress, plugins en themes bevatten soms beveiligingslekken. Zodra zo’n lek bekend is, scannen aanvallers automatisch het internet op websites die de update nog niet hebben geïnstalleerd. Dit gaat snel, soms binnen uren na publicatie van een beveiligingsupdate.
Zwakke wachtwoorden. Een eenvoudig wachtwoord op het beheerderspanel is een open uitnodiging. Geautomatiseerde tools proberen duizenden combinaties per minuut, brute force-aanvallen.
Besmette plugins of themes. Niet alle WordPress-plugins en themes zijn betrouwbaar. Illegale of gratis gekraakte versies van betaalde plugins bevatten regelmatig ingebouwde malware.
Gecompromitteerde FTP-toegang. Als jouw FTP-inloggegevens uitlekken, via een datalek bij een ander platform of via malware op jouw eigen computer, kan een aanvaller direct bestanden uploaden op jouw server.
Hoe herken je malware op jouw website?
Malware verbergt zich, maar laat altijd sporen achter. Dit zijn de meest voorkomende signalen:
Onbekende omleidingen. Bezoekers worden zonder aanleiding doorgestuurd naar andere websites, casino’s, nep-webshops of phishing-pagina’s.
Vreemde inhoud in jouw pagina’s. Linkjes of teksten die jij niet hebt geplaatst verschijnen plotseling op jouw website, vaak onzichtbaar voor jou maar wel zichtbaar voor zoekmachines.
Waarschuwingen van Google of browsers. Chrome, Firefox en Safari tonen een rode waarschuwingspagina als zij malware detecteren. Google markeert de website in zoekresultaten met “Deze site kan schadelijk zijn.”
E-mails van jouw domein belanden in spam. Een teken dat jouw mailserver wordt misbruikt voor het versturen van spam.
Onverklaarbare serverbelasting. Jouw website is trager dan normaal, of de hosting-provider meldt dat jij veel meer resources verbruikt dan gebruikelijk. Mogelijke oorzaak: een cryptominer die draait op jouw server.
Google Search Console stuurt een melding. Als je Search Console hebt ingesteld, ontvang je automatisch een e-mail bij gedetecteerde malware. Gebruik je Search Console nog niet? Stel het vandaag in.
Stap voor stap: malware verwijderen van jouw website
Stap 1, zet de website tijdelijk offline
Zolang jouw besmette website online staat, kan de malware actief schade aanrichten bij bezoekers en zich verder verspreiden. Schakel de website uit via je hostingpanel of zet hem in onderhoudsmodus.
Informeer ook je hostingprovider. Zij kunnen besmette bestanden soms isoleren en hebben inzicht in wat er op serverniveau speelt.
Stap 2, wijzig alle wachtwoorden
Voordat je ook maar één bestand aanraakt, wijzig je alle toegangswachtwoorden. De hacker heeft ergens toegang gekregen en heeft mogelijk nieuwe achterdeurtjes aangemaakt. Wachtwoorden wijzigen is de eerste afsluiting.
Wijzig: het CMS-beheerderswachtwoord (alle gebruikers), FTP/SFTP-gegevens, het databasewachtwoord en de inloggegevens van je hostingpanel.
Stap 3, maak een back-up van de huidige situatie
Maak een volledige back-up van alle bestanden en de database, ook al zijn ze besmet. Dit doe je als bewijsmateriaal en als referentie voor de analyse. Sla de back-up op buiten de server.
Controleer daarna of je een schone back-up hebt van vóór de besmetting. Kijk naar de datum: wanneer zijn de eerste tekenen van malware verschenen? Gebruik een back-up die ouder is dan dat moment als uitgangspunt voor herstel.
Stap 4, scan de website op malware
Gebruik een of meerdere scantools om de besmette bestanden te identificeren.
Online scanners analyseren jouw website van buitenaf en zijn een goede eerste stap:
- Sucuri SiteCheck (sitecheck.sucuri.net), gratis, snel, controleert ook op zwarte lijsten
- VirusTotal: scan individuele URL’s of bestanden
Server-side scanners bekijken de daadwerkelijke bestanden op je server:
- Wordfence (WordPress), gratis plugin, gedetailleerde bestandsscan
- MalCare: herkent ook versleutelde en verborgen malware
- ImunifyAV: beschikbaar via veel hostingpanels
Let op: geen enkele scanner detecteert 100% van alle malware. Gebruik bij twijfel meerdere tools of schakel een professional in.
Stap 5, verwijder de malware handmatig
Dit is de meest tijdrovende stap. De scanner geeft je een lijst van verdachte bestanden, die controleer en reinig je één voor één.
Waar malware zich het vaakst verstopt:
De wp-content/uploads map is populair bij aanvallers omdat bestanden hier zelden worden gecontroleerd. Zoek naar PHP-bestanden in deze map, die horen er niet te zijn.
In themes en plugins wordt kwaadaardige code vaak ingevoegd in bestaande bestanden, zodat het minder opvalt. Vergelijk verdachte bestanden met de originele versie via de officiële repository.
Het .htaccess bestand wordt regelmatig gebruikt voor het instellen van verborgen omleidingen. Open het bestand en vergelijk met een schone versie.
In de database kunnen spam-links en kwaadaardige scripts zijn opgeslagen in pagina-inhoud, widgets of instellingen. Gebruik een databasetool zoals phpMyAdmin om te zoeken op verdachte strings zoals <script, base64 of eval(.
Achterdeurtjes (backdoors) zijn de gevaarlijkste vondst. Dit zijn verborgen scripts waarmee de hacker opnieuw toegang kan krijgen, ook nadat je de zichtbare malware hebt verwijderd. Veelgebruikte bestandsnamen: wp-cache.php, xmlrpc.php (als dit niet jouw installatie is), of willekeurige strings zoals a3f9d.php.
Stap 6, update alles en verwijder wat je niet gebruikt
Na de schoonmaak:
- Werk WordPress, alle plugins en alle themes bij naar de laatste versie
- Verwijder inactieve plugins en themes, elk ongebruikt stukje software is een potentieel lek
- Verwijder ongebruikte gebruikersaccounts, zeker accounts met beheerdersstatus die jij niet herkent
- Controleer de gebruikerslijst op onbekende beheerders, een veelgebruikte achterdeurtechniek
Stap 7, vraag Google om hercontrole
Als Google jouw website heeft gemarkeerd als onveilig, moet je dit zelf melden nadat de malware is verwijderd. Ga in Google Search Console naar Beveiliging en handmatige acties → Beveiligingsproblemen en vraag een hercontrole aan. Google controleert de site opnieuw en verwijdert de waarschuwing als de site schoon is. Dit duurt doorgaans twee tot zeven werkdagen.
Wanneer schakel je professionele hulp in?
Handmatig malware verwijderen is tijdrovend, technisch en vereist kennis van zaken. Een gemiste malware-lijn, één verborgen backdoor, betekent dat de hacker nog steeds toegang heeft.
Schakel professionele hulp in als:
- Je de malware niet volledig kunt identificeren
- De besmetting is teruggekeerd na een eerdere schoonmaakbeurt
- Je geen schone back-up hebt om op terug te vallen
- Klantgegevens mogelijk zijn gestolen (meldplicht datalekken)
- Je geen tijd of technische kennis hebt voor een grondige aanpak
Bij Orange Warriors verwijderen wij malware, dichten wij de ingang die de hacker gebruikte en brengen wij jouw website veilig terug online. Lees meer over onze website beveiliging →
Hoe voorkom je dat malware terugkomt?
Een schone website is het startpunt, geen eindpunt. Zonder structurele maatregelen is het een kwestie van tijd voordat het opnieuw misgaat.
Houd software altijd up-to-date. De meeste hacks beginnen bij verouderde plugins of een verouderd CMS. Automatische updates zijn voor de meeste websites de beste keuze.
Gebruik sterke, unieke wachtwoorden. Eén wachtwoord voor meerdere platforms is een risico. Een zakelijke wachtwoordmanager maakt sterk wachtwoordbeheer haalbaar voor het hele team.
Schakel tweestapsverificatie in. Zelfs als een wachtwoord uitlekt, heeft de aanvaller dan nog een tweede stap nodig om in te loggen.
Installeer een Web Application Firewall. Een WAF filtert kwaadaardig verkeer en blokkeert aanvalspogingen voordat ze jouw website bereiken. Dit is de meest effectieve preventieve maatregel.
Monitor actief. Wacht niet tot een klant je belt. Met continue monitoring word jij gewaarschuwd bij het eerste teken van besmetting, nog voordat bezoekers er last van hebben.
