WordPress Virüs Temizleme: Tarama, Temizlik ve Sonrasında Yapılacaklar

WordPress Virüs Tarama Nasıl Yapılır?

WordPress virüs tarama üç katmanda yapılır: site içinden çalışan güvenlik eklentileri, siteyi dışarıdan ziyaret eden online tarayıcılar ve hosting ya da sunucu tarafındaki taramalar. WordPress belgeleri tek bir yöntemin en iyisi olmadığını, uygulama tabanlı ve uzaktan tarayıcıların birlikte kullanılmasının bulma ihtimalini ciddi biçimde artırdığını belirtir.

Eklenti tabanlı tarayıcılar

Bir wordpress virüs tarama eklentisi site dosyalarına içeriden eriştiği için dışarıdan görünmeyen arka kapıları da yakalayabilir. WordPress’in hacked sayfasında uzun süredir kullanılan uygulama tabanlı tarayıcılar arasında Wordfence ve Sucuri anılır; ikisi de wordpress.org eklenti dizininde yer alır:

• Wordfence Security: Dizin sayfasına göre çekirdek, tema ve eklenti dosyalarını WordPress.org deposundaki sürümlerle karşılaştırır; dosya, yazı ve yorumlarda zararlı URL’leri ve bilinen arka kapı imzalarını arar.
• Sucuri Security: Dizin sayfasına göre dosya bütünlüğü izleme, SiteCheck ile uzaktan tarama, güvenlik olay kaydı ve saldırı sonrası anahtar yenileme ile şifre sıfırlama araçları sunar.

Aynı sayfa Quttera ve GOTMLS gibi başka tarayıcıları da sayar. Eklenti ele geçirilmiş bir sitenin içinde çalıştığı için sonucu tek başına son söz sayılmaz; temiz çıkan bir tarama, bulaşma olmadığını kanıtlamaz.

Online site virüs tarama araçlarının sınırı

Online site virüs tarama araçları siteyi sıradan bir ziyaretçi gibi açar ve yalnızca tarayıcıya ulaşan kodu görür. WordPress belgeleri bu gruba VirusTotal ve Sucuri SiteCheck’i örnek verir; Sucuri’nin dizin sayfası da SiteCheck’in siteye normal bir ziyaretçi gibi eriştiğini yazar. Sunucudaki bir PHP dosyasına gizlenmiş arka kapı ya da yalnızca arama motoru botlarına gösterilen spam bu taramada görünmeyebilir.

Sunucu ve hosting taraması

Birçok hosting firması kendi panelinde dosya taraması sunar ya da destek ekibi aracılığıyla tarama yapar; bu tarama eklentinin göremediği klasörleri ve aynı hesaptaki diğer siteleri de kapsayabilir. Panelde böyle bir araç olup olmadığı ve bulguların nasıl yorumlanacağı hosting firmasına sorulur. Üç yöntemin farkı aşağıdaki tabloda yan yana durur:

Çekirdek Dosyalar Nasıl Doğrulanır?

WordPress çekirdek dosyaları, WP-CLI’daki wp core verify-checksums komutuyla WordPress.org’un yayımladığı sağlama değerleriyle karşılaştırılarak doğrulanır. Komutun resmi dokümanına göre araç, kurulu sürümün MD5 sağlama değerlerini indirir ve uyuşmayan dosyaları listeler. SSH erişimi olan bir sunucuda kontrol şu sırayla yapılır:

1. Sunucuya SSH ile bağlanılır ve WordPress’in kurulu olduğu kök klasöre geçilir.
2. wp core verify-checksums çalıştırılır; Türkçe kurulumda gerekirse --locale=tr_TR seçeneği eklenir.
3. Kök klasördeki WordPress’e ait olmayan dosyaları da görmek için --include-root seçeneği kullanılır.
4. WordPress.org dizinindeki eklentiler için wp plugin verify-checksums --all çalıştırılır.
5. Uyuşmayan her dosya not edilir ve aynı sürümün resmi kopyasıyla değiştirilir.

Bu komut wp-content altındaki temaları ve yüklenen dosyaları doğrulamaz; çekirdek temiz çıksa bile bulaşma bu klasörlerde olabilir. SSH erişimi olmayan paylaşımlı paketlerde benzer karşılaştırma, güvenlik eklentilerinin çekirdek dosya kontrolüyle yapılır.

Eklenti ve Tema Dosyaları Resmi Kaynaktan Nasıl Yenilenir?

Eklenti ve tema dosyaları, kullanılan sürümün aynısı resmi kaynaktan indirilip klasör FTP/SFTP ile tümüyle değiştirilerek yenilenir. WordPress belgeleri yönetim panelindeki yeniden yükleme seçeneği yerine FTP/SFTP ile kopyalamayı önerir; panel yükleyicileri çoğu zaman yalnızca var olan dosyaların üzerine yazar, saldırganın eklediği yeni dosyalar ise yerinde kalır. Aynı sayfa wp-admin ve wp-includes klasörlerinin güvenle değiştirilebileceğini, sürümün kurulu sürümle aynı olması gerektiğini de belirtir.

• Ücretsiz eklenti ve temalar wordpress.org dizininden, ücretli olanlar geliştiricinin kendi hesabından indirilir.
• Kaynağı belirsiz, “nulled” denen korsan eklenti ve temalar geri yüklenmez; bu kod yeni bir bulaşma yolu olabilir.
• Kullanılmayan eklenti ve temalar silinir; Google’ın temizlik rehberi de artık kullanılmayan yazılımların sunucudan kaldırılmasını önerir.
• Child temada ya da özel kodda yapılan değişiklikler, eski bir temiz kopya varsa onunla satır satır karşılaştırılır.

WordPress belgeleri index.php, header.php, footer.php ve functions.php dosyalarının her sayfa isteğini etkileyebildiği için saldırganların sık hedefi olduğunu yazar. Resmi kaynağı olmayan özel temalarda bu dosyalar elle okunur; tanınmayan kod blokları silinmeden önce yedekteki halleriyle karşılaştırılır.

Zararlı Kod Uploads, Veritabanı ve Kullanıcılarda Nasıl Bulunur?

WordPress virüs temizleme sırasında en kolay atlanan yerler, dosya taramasının dışında kalan alanlardır. Zararlı kod; wp-content/uploads klasörüne, veritabanındaki yazı ve ayar kayıtlarına ya da sahte yönetici hesaplarına da saklanabilir. Bu üç alan, çekirdek ve eklenti kontrolünden ayrı olarak elle incelenir.

wp-content/uploads içinde .php dosyası

Uploads klasörü görsel, PDF ve medya dosyaları içindir; burada .php uzantılı bir dosya bulunması güçlü bir şüphe işaretidir. Kontrol dosya yöneticisinde ya da SSH’te find wp-content/uploads -name "*.php" komutuyla yapılır. Bazı eklentiler alt klasörlere koruma amaçlı boş dosyalar koyabildiği için bulunan her dosya silinmeden önce açılıp içeriği okunur.

Veritabanında enjekte script ve spam linkleri

Veritabanında özellikle yazı içerikleri ve ayar tablosu (çoğu kurulumda wp_posts ve wp_options, tablo öneki farklı olabilir) taranır. Tanınmayan <script> etiketleri, gizlenmiş bağlantılar ve siteyle ilgisiz ilaç, kumar ya da yabancı dilde metinler aranır. Wordfence’in dizin sayfası, eklentinin yazı, yorum ve dosyalarda Google Safe Browsing listesindeki zararlı URL’leri aradığını belirtir. Elle düzenleme yapılacaksa önce veritabanı yedeği alınır; ayar tablosundaki serileştirilmiş veriler yanlış değiştirilirse site bozulabilir.

Bilinmeyen yönetici kullanıcılar

Kullanıcılar ekranında Yönetici rolü filtrelenir ya da wp user list --role=administrator komutu çalıştırılır ve tanınmayan her hesap not edilir. WordPress belgeleri yeni kullanıcı oluşturulmasını açık bir bulaşma göstergesi olarak sayar. Hesap silinmeden önce kayıt tarihi not edilir; bu tarih, saldırının ne zaman başladığına dair ipucu verir.

wp-config.php ve .htaccess Dosyalarında Neye Bakılır?

wp-config.php’de tanınmayan include satırlarına ve kodlanmış PHP bloklarına, .htaccess’te ise ziyaretçiyi başka alan adlarına yönlendiren kurallara bakılır. WordPress belgeleri .htaccess dosyasını, bulaşmanın türü ne olursa olsun en sık değiştirilen ve kötüye kullanılan dosyalardan biri olarak anar; bu dosya kök klasörün yanı sıra alt klasörlerde de bulunabilir.

• wp-config.php: eval(, base64_decode( gibi kodlanmış ifadeler ve başka dosya çağıran satırlar
• wp-config.php: veritabanı bilgileri ve güvenlik anahtarları dışında eklenmiş tanımsız kod
• .htaccess: arama motorundan ya da mobilden gelen ziyaretçiyi başka siteye gönderen RewriteRule satırları
• .htaccess: uploads gibi alt klasörlerde beklenmeyen kopyalar
• Değişiklik tarihleri: kimsenin dokunmadığı halde yakın zamanda değişmiş dosyalar

base64_decode gibi ifadeler bazı meşru eklentilerde de geçer; tek başına zararlı kod kanıtı sayılmaz, bağlamıyla değerlendirilir. Her iki dosyada da şüpheli satır silinmeden önce dosyanın bir kopyası alınır.

Temizlikten Sonra Neler Değiştirilir?

Temizlik bittiğinde güvenlik anahtarları (salt) yenilenir, tüm şifreler bir kez daha değiştirilir, WordPress, eklenti ve temalar güncellenir ve yönetici girişlerine iki adımlı doğrulama eklenir. Bu sıra, WordPress’in hacked sayfası ile Hardening WordPress rehberindeki önerilere dayanır:

1. Güvenlik anahtarları: WordPress anahtar üreticisinden yeni bir set alınır ve wp-config.php’deki değerlerin yerine yazılır; WordPress belgelerine göre bu işlem oturumu açık kalan herkesi dışarı atar.
2. Şifreler: Yönetici ve diğer tüm kullanıcılar, FTP/SFTP, hosting paneli ve veritabanı şifreleri uzun ve benzersiz şifrelerle yenilenir; veritabanı şifresi değişince wp-config.php’ye de işlenir.
3. Güncellemeler: Sıkılaştırma rehberi eski WordPress sürümlerinin güvenlik güncellemesi almadığını belirtir; çekirdek, eklenti ve temalar son sürüme çekilir.
4. İki adımlı doğrulama: Aynı rehber yönetici girişleri için iki adımlı doğrulamayı ek önlem olarak önerir.
5. Panelden dosya düzenleme: wp-config.php’ye eklenen DISALLOW_FILE_EDIT satırı, tema ve eklenti dosyalarının panelden düzenlenmesini kapatır.

WordPress virüs temizleme, saldırganın girdiği açık bulunmadan tamamlanmış sayılmaz; WordPress belgeleri bu aşamayı adli inceleme olarak adlandırır ve amacın aynı yolun yeniden kullanılmasını önlemek olduğunu yazar. Sitenin uzun vadede nasıl korunacağı WordPress güvenliği rehberinde ayrıntılı olarak anlatılır.

Google Uyarısı Varsa Search Console’da Ne Yapılır?

Google siteyi saldırıya uğramış ya da zararlı olarak işaretlediyse uyarı Search Console’daki Güvenlik sorunları raporunda görünür ve temizlikten sonra inceleme isteği aynı rapordan gönderilir. Google’ın Güvenlik sorunları raporu sayfasına göre rapor saldırıya uğramış içerik, kötü amaçlı yazılım ve sosyal mühendislik başlıklarını kapsar. Aynı sayfa, yeniden değerlendirme incelemelerinin çoğunun birkaç gün veya birkaç hafta sürebileceğini belirtir.

Google, sorunların yalnızca örnek gösterilen sayfalarda değil sitenin genelinde düzeltilmesini ister ve bekleyen bir karar varken yeni istek gönderilmesinin süreci uzatabileceğini yazar. Saldırı türlerine göre temizlik rehberleri Google’ın saldırıya uğramış siteler için yardım serisinde toplanır. İnceleme isteğinin nasıl hazırlanacağı ve arama sonuçlarındaki uyarının kaldırılma süreci hacklenmiş WordPress sitesini kurtarma sayfasında anlatılır.

Sık Yapılan Hatalar: Hızlı Silme mi, Adım Adım Temizlik mi?

WordPress virüs temizleme sırasında en sık yapılan hata, yalnızca görünen belirtiyi silip bulaşmanın kaynağını ve saldırganın girdiği açığı yerinde bırakmaktır. Adım adım yaklaşım ise önce yedek, sonra tarama, temizlik, erişim yenileme ve açığın kapatılması sırasını izler. İki yaklaşımın farkı en net şu başlıklarda görülür:

Bir başka yaygın hata, eski bir yedeği geri yükleyip işi bitmiş saymaktır. Yedek bulaşma başladıktan sonra alınmışsa zararlı kodu da geri getirir; geri yüklenen kurulum güncellenmezse aynı zafiyet yerinde kalır. WordPress malware temizleme sırasında şüpheli her dosyayı silmek de risklidir: meşru bir eklenti dosyası gidince site çalışmayı durdurabilir.

Ne Zaman Profesyonel Destek Gerekir?

Profesyonel destek; sunucuya SSH ya da dosya erişimi olmadığında, temizlikten sonra bulaşma geri döndüğünde, site müşteri verisi barındıran bir e-ticaret sitesi olduğunda veya Google uyarısı satışları etkilediğinde mantıklı hale gelir. Tek eklentili, yedeği güncel ve belirtisi sınırlı bir sitede ilk adımlar yukarıdaki sırayla işletme tarafında da atılabilir. 2019’dan beri Maltepe merkezli çalışan Onur Freelance’ta wordpress virüs temizleme işi şu sırayla ilerler:

1. Belirtiler ve hosting yapısı incelenir, enfekte hal yedeklenir.
2. Eklenti, sunucu ve dış tarama sonuçları karşılaştırılır.
3. Çekirdek, eklenti ve tema dosyaları resmi kaynaktan yenilenir; uploads, veritabanı ve kullanıcılar elle kontrol edilir.
4. Anahtarlar ve şifreler yenilenir, güncellemeler yapılır, gerekiyorsa Google’a inceleme isteği hazırlanır.

Hiçbir temizlik yöntemi yeni bir saldırının olmayacağını vaat edemez; temizlik sonrasında düzenli güncelleme ve izleme sürdürülür. Onur Freelance’ın WordPress hacklenmiş siteyi kurtarma hizmeti bu süreci kapsar ve kapsamı ön görüşmede netleşir. Temizlik sonrası güncelleme ve yedek düzeni için WordPress bakım ve güncelleme hizmeti aylık 500–2.000 TL aralığındadır.