WordPress menjadi sasaran empuk para cracker untuk menanam sesuatu di website kita (benalu). Segala macam yang mereka tanam itu biasa dikenal dengan istilah malware.

Ketika website kamu terkena malware, biasanya kamu akan menemukan hal-hal ini:

1. Website kamu redirect sendiri ke website lain. Tapi dalam beberapa kasus ketika kamu coba lagi, redirect itu tidak terjadi.
2. Tiba-tiba kamu menemukan outbond link (OBL) di salah satu konten, yang OBL itu tidak pernah kamu buat sebelumnya.
3. Saat kamu ketik site:namawebkamu.com di Google maka akan muncul konten-konten yang aneh dan tidak pernah kamu buat.
4. Kamu mendapat surat cinta dari provider hosting/VPS bahwa server kamu bermasalah, yang berujung pada dinonaktifkannya server.

Oh iya, perlu dicatat juga, website kamu berubah settingan, konten, dll-nya itu belum tentu si cracker tahu password blog kamu. Mereka menggunakan banyak jalan yang bisa ditempuh, bruteforce hanya salah satunya (upaya mencoba berbagai kombinasi password).

Di bawah ini adalah salah satu contoh pesan dari Vultr kepada saya, bahwa server saya kemungkinan digunakan sebagai bot oleh cracker.

Pokoknya bunyi pesannya begini, “A computer connected to it is probably infected and being part of a botnet.” (Googling aja). Kamu juga mendapatkan pesan seperti itu? Jangan khawatir, ikuti langkah-langkah di materi ini.

Vultr meminta kita untuk segera melakukan tindakan dalam waktu 48 jam, kalau tidak, server kita akan disuspend (sementara). Kalau kamu baru baca materi ini ketika servermu suddah disuspend, kamu bisa kirim ticket dulu ke mereka untuk diaktifkan kembali dan segera lakukan langkah-langkah di materi ini.

Mereka juga menggunakan teknik backdoor, mencari celah atau lubang yang terdapat di server atau di webnya itu sendiri. Mereka bisa mengedit konten tanpa perlu tahu password.

Kenapa WordPress (Bisa) Terkena Malware?

WordPress adalah platform web/blogging opensource yang paling banyak digunakan secara worldwide. Dari hal ini saja sudah bisa menjawab pertanyaan di atas.

Ada 32% website di seluruh dunia menggunakan WordPress ebagai platform web mereka (baca datanya di sini). Di sini juga banyak data dan statistik tentang WordPress, cek sendiri.

Iya, semakin tinggi sebuah capaian, maka akan semakin banyak orang yang tertarik untuk berlaku usil.

Para cracker tahu betul bahwa ekosistem ini menjadi ladang yang empuk untuk mereka kulik-kulik. Apalagi mereka yang juga ngerti tentang SEO (cara kerja mesin pencari). Mereka akan melakukan hal ini:

1. Redirect, supaya visitor web mereka bertambah.
2. Menanam backlink, supaya reputasi web mereka semakin bagus di Google.

Jadi, kalau kamu pengguna WordPress, apalagi menjadikan platform ini sebagai andalan untuk mencari rejeki, wajib baca materi ini sampai tuntas.

Cara Memperbaiki WordPress yang Terinfeksi Virus Malware

Saya sudah pernah merasakan kesalnya website terkena malware, termasuk website saya ini vatih.com.

Kalau website kamu sudah terlanjur terinfeksi malware (dengan adanya ciri-ciri seperti yang saya sebutkan pada prolog di atas), maka langkah-langkah ini wajib kamu lakukan.

Bersihkan dengan Wordfence

Install plugin Wordfence dan ikuti panduan mereka untuk membersihkan website kamu dari malware.

Kenapa Wordfence? Banyak alasan kenapa menggunakan Wordfence, kamu bisa baca sendiri di websitenya. So far, ini plugin terbaik yang saya tahu untuk membersihkan website-website yang terkena malware.

Pastikan kamu membaca peetunjuknya secara menyeluruh di situs resminya.

Ikuti aja panduannya, insya Allah malwarenya bisa dibersihkan.

Menggunakan VaultPress

Intinya sama seperti Wordfence, tapi VaultPress ini perusahaannya WordPress juga. Jadi satu atap. Secara copywriting sih ngga kalah meyakinkan, coba baca sendiri. Kalau VaultPress ini selain mengamankan WordPress, dia juga otomatis backup website setiap hari secara seamless, jadi ngga membebani server/hosting.

Kalau VaultPress ini berbayar, tapi penggunaannya sangat mudah, semua serba otomatis. Berbeda dengan Wordfence yang agak ribet.

***

Untuk memperbaiki WordPress yang kena malware cukup dengan 2 hal di atas.

Selanjutnya, kamu perlu melakukan upaya pencegahan (preventif) supaya hal ini tidak terjadi lagi.

Cara Mencegah Supaya Tidak Kena Malware (Lagi)

NOTE: Apakah website kamu sudah kena malware atau belum, kamu tetap harus melakukan langkah-langkah ini.

Saat pertama install website berbasis WordPress, kebanyakan orang masih ngga sadar bahwa ada hal-hal lemah yang tidak mereka perhatikan dan ini menjadi footprint.

Apa itu footprint? Intinya, ini adalah pattern atau pola yang bisa dibaca karena sering terjadi di kebanyakan kasus.

Hal-hal yang biasa menjadi footprint dalam dunia cracking:

1. Username: admin
2. User ID: 0
3. Alamat login: /wp-admin
4. Menampilkan versi WordPress
5. Menunjukkan bahwa situsnya menggunakan WordPress (coba CTRL+U, kemudian CTRL+F dan ketik “wordpress”)

Adapun hal-hal di luar footprint yang bisa dijadikan pintu masuk para cracker untuk menembus sebuah web, diantaranya:

1. Theme, hati-hati install theme dari tempat-tempat yang tidak terpercaya, misalnya pakai nulled version (bajakan), umumnya sudah disusupi virus.
2. Plugin, sama seperti theme.
3. Lemahnya keamanan hosting atau server.
4. Tidak menggunakan plugin untuk urusan security (preventif).

Dari 10 hal di atas, harusnya kamu udah mulai ada gambaran ya hal-hal apa saja yang harus diperhatikan dan dipastikan clear.

Tapi, mari kita ulas satu-satu..

Gunakan Wordfence

Selain untuk memperbaiki, Wordfence juga bagus untuk pencegahan.

Jadi, bot-bot nakal itu jumlahnya semakin hari semakin banyak. Bisa kebayang ya beberapa tahun ke depan akan seperti apa. Setiap bulan ada 3 ribu lebih yang menyerang website saya lewat upaya percobaan login.

Mereka itu, kalaupun gagal menembus pertahanan website kita, bisa menjadi beban karena mengakses website kita secara terus menerus (menghabiskan resource), tapi tidak memberikan dampak positif untuk kita.

Ganti Username

Masih banyak yang pakai username standar seperti admin, administrator, nama domainnya (kalau domainnya vatih.com, maka user yang dipakai adalah vatih). Selain itu, username pertama yang dipakai saat baru install WordPress memiliki ID 0 (nol).

Buat 2 sampai 3 user baru, supaya ID usernya menjadi 3 atau 4.

Kombinasi Password yang Strong

Ini bukan cuma lewat begitu aja ya, harus dipraktekkan!

• Huruf besar
• Huruf kecil
• Angka
• Karakter (%, $, &, *, dll)

Password saya kominasi yang susah-susah. Semakin terkombinasi dan semakin panjang, insya Allah semakin aman.

Ganti Alamat Login

Kalau masih pakai /wp-admin ini masih bisa dibaca sebagai WordPress. Jadi para cracker itu menggunakan robot (bot) dengan logic-logic tertentu. Iya, mereka membuat bot untuk mengerjakan upaya cracking itu secara massif.

Si robot akan ditugaskan untuk deteksi apakah web yang dituju menggunakan WordPress atau bukan, kalau bot menilai match (cocok), maka akan ada tindakan selanjutnya, seperti upaya brute force untuk mencoba semua kemungkinan akses login.

Cukup dengan mengganti alamat login, ini bisa memfilter upaya brute force dari botnya para crackers itu.

Untuk mengganti alamat login, bisa pakai Hide My WP.

Pakai Google reCaptcha

Saya menginstall plugin reCaptcha ini di hampir semua website yang saya kelola. Dengan adanya plugin ini, upaya brute force jadi semakin bisa dihadang.

Plugin ini menggunakan teknologi captcha milik Google, jadi ya insya Allah ampuh banget untuk menangkal bot-bot jahat. Saya udah ngerasain manfaatnya signifikan banget.

Gunakan Akismet

Ini juga plugin yang sangat ampuh untuk mencegah komentar spam, meringakan beban server. Ngga ada hubungannya sama mengamankan website dari cracker sih, tapi ya biar maksimal aja kenyamanannya.

Hari gini ngga tau Akismet? Googling lah.

Matikan XML-RPC

Fitur ini sudah aktif secara default sejak WordPress diinstall.

Fungsi dari XML-RPC ini adalah supaya owner bisa mengendalikan website dari jarak jauh. Misalnya:

• Posting via email
• Kontrol API (kalau ngerti coding)
• Dll

Padahal fitur ini jarang banget dipakai sama para blogger.

Kemampuan untuk mengendalikan dari jarak jauhnya inilah yang dipakai oleh para cracker untuk mengakses situs kita. Ya daripada bikin rawan, mending dimatikan aja.

Caranya gimana?

Bisa pakai plugin ini; Disable XML-RPC.

Block yang Gagal Login

Di Wordfence ada fitur untuk otomatis memblokir user yang gagal login sekian kali (bisa diatur berapa kali gagalnya). Bisa juga blokir IP yang login menggunakan user admin, administrator atau apapun yang kita inginkan.

Itu ada di dalam menu Firewall. Cari sendiri aja.

Pengaturan ini wajib kamu pakai, supaya website semakin aman dan ngga habis resource servernya.

Hati-hati Pakai VPS

Iya, dari segi SEO ada banyak kelebihan kalau pakai VPS (Virtual Private Server), tapi dari sisi keamanan jangan disepelekan.

Karena kalau pakai VPS itu sama seperti kamu punya komputer kosongan, yang harus kamu install/setting ini dan itunya.

Saya pribadi merekomendasikan kamu untuk pakai Vultr atau Digital Ocean yang dimanage melalui Run Cloud. Karena dengan menggunakan Run Cloud, kamu tinggal terima jadi dan hasilnya insya Allah sudah sesuai standar keamanan yang berlaku.

Waspada Pakai Jasa

Ada banyak sekali di forum-forum yang membuka jasa install WordPress di VPS, saya husnudzon (berbaik sangka) bahwa mereka memang ahli (berkapasitas), tapi sayangnya dikelola perseorangan, bukan tim. Jadi pelayanan after salesnya pasti lama-lama menurun, karena clientnya semakin hari semakin bertambah.

Inti dari “hati-hati pakai VPS” dan “waspada pakai jasa” adalah sedikit banyak kamu juga harus tahu ya menggunakan Vultr dengan Run Cloud, biar hati menjadi tentram.

Segitu aja sharingnya, yang mau nambahkan silahkan. Makasih.