Een gehackte WordPress-site grondig schoonmaken doe je door alle geïnfecteerde bestanden te verwijderen, de database te controleren op kwaadaardige code, wachtwoorden te resetten en beveiligingslekken te dichten. Het is een proces van meerdere stappen waarbij je niets mag overslaan, want één achtergebleven malware-fragment is genoeg om opnieuw geïnfecteerd te raken. In dit artikel beantwoorden we de meest gestelde vragen over WordPress-malware verwijderen, van herkenning tot herstel.
Hoe weet je zeker dat je WordPress site gehackt is?
Je WordPress-site is vrijwel zeker gehackt als je onbekende redirects ziet, vreemde code in je bronbestanden aantreft, Google je site markeert als gevaarlijk, of je hostingprovider je account heeft geschorst wegens verdachte activiteit. Andere veelvoorkomende signalen zijn een plotseling dalend zoekverkeer, onbekende beheerderaccounts en spam-links in je content.
Niet elke hack is meteen zichtbaar. Aanvallers willen soms zo lang mogelijk onopgemerkt blijven om je site te misbruiken voor phishing, SEO-spam of het verspreiden van malware naar bezoekers. Controleer daarom ook:
- Google Search Console op beveiligingswaarschuwingen
- Je bestandsmanager op recent gewijzigde bestanden die je zelf niet hebt aangepast
- De uitvoer van een online malwarescanner zoals Sucuri SiteCheck
- Onbekende plugins of thema’s die je niet zelf hebt geïnstalleerd
Twijfel je? Bekijk je site via een incognitovenster of vanuit een ander netwerk. Soms toont malware alleen kwaadaardige content aan bezoekers die niet ingelogd zijn.
Welke bestanden en databases infecteert malware het vaakst?
Malware in WordPress infecteert het vaakst het bestand wp-config.php, de map wp-includes, het actieve thema (met name functions.php), geüploade bestanden in wp-content/uploads en de WordPress-database, waar kwaadaardige scripts in posts of opties worden verstopt.
Aanvallers kiezen bewust voor deze locaties omdat ze vaak worden uitgevoerd bij elke paginaoproep of moeilijk te controleren zijn. Een paar specifieke plekken om extra alert op te zijn:
- wp-config.php: bevat databasegegevens en is een geliefd doelwit voor toegang tot je hele installatie
- functions.php van je thema: wordt bij elke pageload uitgevoerd en is ideaal voor het injecteren van malware
- wp-includes en wp-admin: hier worden soms nep-PHP-bestanden toegevoegd die op legitieme WordPress-bestanden lijken
- wp-content/uploads: bestanden hier worden zelden gecontroleerd, maar kunnen uitvoerbare PHP-bestanden bevatten
- De wp_options tabel: aanvallers slaan hier gecodeerde malware of kwaadaardige redirects op
Hoe verwijder je malware stap voor stap uit WordPress?
Je verwijdert malware uit WordPress door eerst een back-up te maken, daarna alle geïnfecteerde bestanden te vervangen door schone versies, de database te scannen en te reinigen, alle wachtwoorden te wijzigen en tot slot beveiligingslekken te dichten. Sla geen stap over, want de volgorde is belangrijk.
Stap 1: Back-up maken en toegang beveiligen
Maak eerst een volledige back-up van je huidige situatie, ook al is die geïnfecteerd. Dit geeft je een terugvalpunt als er iets misgaat. Zet daarna je site in onderhoudsmodus zodat bezoekers niet worden blootgesteld aan de malware terwijl jij aan het werk bent.
Stap 2: Bestanden vervangen en database reinigen
Download een frisse kopie van WordPress, je thema en alle plugins rechtstreeks van de officiële bronnen. Vervang de kernbestanden van WordPress (alle mappen behalve wp-content) volledig door de schone versies. Scan daarna je wp-content-map handmatig of met een beveiligingsplugin zoals Wordfence of MalCare op verdachte code. Zoek in je database naar termen als eval(base64_decode, <script op onverwachte plekken en vreemde URL’s in de wp_options-tabel. Verwijder of vervang alles wat er niet hoort te staan.
Stap 3: Wachtwoorden en toegang resetten
Wijzig alle wachtwoorden: WordPress-beheerder, FTP/SFTP, cPanel en je databasewachtwoord. Verwijder onbekende beheerderaccounts. Genereer nieuwe beveiligingssleutels in wp-config.php via de officiële WordPress key generator. Zo worden alle actieve sessies ongeldig gemaakt.
Wat doe je nadat de malware verwijderd is?
Nadat je WordPress-malware hebt verwijderd, installeer je een beveiligingsplugin, stel je tweefactorauthenticatie in, dien je een herbeoordelingsverzoek in bij Google als je site was gemarkeerd en monitor je de site actief op nieuwe verdachte activiteit. Herstel is pas compleet als je ook de oorzaak hebt weggenomen.
Concrete stappen na het schoonmaken:
- Installeer een beveiligingsplugin met een firewall en malwarescanner (zoals Wordfence of Solid Security)
- Stel automatische updates in voor WordPress, thema’s en plugins
- Verwijder ongebruikte thema’s en plugins, ook als ze gedeactiveerd zijn
- Dien via Google Search Console een herbeoordelingsverzoek in als je site als gevaarlijk was gemarkeerd
- Controleer je webhostingomgeving op verdachte cron-jobs of onbekende scripts
- Zet regelmatige automatische back-ups op naar een externe locatie
Waarom keert malware soms terug na het schoonmaken?
Malware keert terug na het schoonmaken omdat de oorspronkelijke kwetsbaarheid niet is gedicht, er een achterpoortje (backdoor) is achtergebleven dat je hebt gemist, of omdat een gecompromitteerde plugin of thema opnieuw de infectie activeert. Zonder de ingang te sluiten heeft schoonmaken weinig zin op de lange termijn.
De meest voorkomende redenen voor herinfectie zijn:
- Backdoors: aanvallers plaatsen verborgen toegangspunten diep in je bestandsstructuur, soms in bestanden met onschuldig ogende namen
- Verouderde software: een niet-bijgewerkte plugin of thema bevat nog steeds het beveiligingslek dat de eerste hack mogelijk maakte
- Gecompromitteerde wachtwoorden: als je wachtwoorden niet zijn gewijzigd, heeft de aanvaller nog steeds toegang
- Gedeelde hosting: op een gedeelde server kan een geïnfecteerde buursite soms jouw bestanden bereiken
Grondig schoonmaken betekent dus niet alleen zichtbare malware verwijderen, maar ook actief zoeken naar achtergebleven backdoors in alle mappen, inclusief verborgen mappen en bestanden met dubbele extensies zoals image.php.jpg.
Wanneer is professionele hulp bij een WordPress hack nodig?
Professionele hulp bij een WordPress-hack is nodig als je na het schoonmaken herinfectie blijft zien, als je de bron van de hack niet kunt achterhalen, als gevoelige klantgegevens zijn blootgesteld, of als je de technische kennis mist om de volledige bestandsstructuur en database veilig te controleren. Een hack die niet grondig wordt opgelost kost uiteindelijk meer tijd en schade dan direct hulp inschakelen.
Situaties waarbij je beter direct een expert inschakelt:
- Je site is meerdere keren gehackt ondanks eerdere schoonmaakpogingen
- Je ziet onbekende transacties of datalekken van klantinformatie
- Je hostingprovider heeft je account geschorst en je weet niet waar te beginnen
- Je site staat op een blacklist van meerdere beveiligingsdiensten
- Je hebt geen recente schone back-up om op terug te vallen
Hoe Maxvankekeren-IT helpt bij een gehackte WordPress site
Wij begrijpen hoe stressvol een WordPress-hack kan zijn. Maxvankekeren-IT biedt persoonlijke en directe ondersteuning bij het oplossen van WordPress-beveiligingsproblemen, zodat je niet alleen met technische handleidingen wordt achtergelaten. Wat wij voor je doen:
- Grondig onderzoek naar de oorzaak van de hack en alle geïnfecteerde bestanden
- Volledige malwareverwijdering inclusief backdoors en verdachte databasevermeldingen
- Herstel van je WordPress-installatie met schone, bijgewerkte bestanden
- Implementatie van preventieve beveiligingsmaatregelen zodat herinfectie wordt voorkomen
- Persoonlijk advies via e-mail, WhatsApp of een online meeting, afgestemd op jouw situatie
Je hoeft dit niet alleen op te lossen. Neem contact op en wij helpen je snel en vakkundig verder.