Server gehackt – wat te doen? Eerste stappen en noodhulp

Kort gezegd: Bent u getroffen? Bel ons. Wij helpen. Vermoedt u dat uw server is gehackt, dan telt eerst één ding: sporen bewaren. Op afstand nemen wij vanaf het eerste bericht het overzicht, de back-up, de beheersing, het opschonen en de documentatie over, tot het incident is afgerond.

Bent u getroffen? Aanwijzingen dat een server is gehackt

Een vermoeden is genoeg om contact op te nemen. U hoeft de aanval niet te bewijzen. Typische aanwijzingen zijn:

• De webserver of PHP-FPM start processen zoals sh of bash. Dat is een sterk waarschuwingssignaal, dat wij uitleggen op de pagina De webserver start een shell.
• In upload-, cache- of tempmappen staan nieuwe of onbekende PHP-bestanden.
• Er zijn cronjobs die niemand heeft aangemaakt, of SSH-sleutels die niemand kan thuisbrengen.
• De belasting is zonder aanwijsbare reden hoog, of de server zet ongebruikelijke uitgaande verbindingen op.
• E-mails van uw server belanden in de spam of worden geweigerd.
• De hostingprovider, een klant of een waarschuwing in de browser meldt schadelijke code.
• In het CMS verschijnen beheerdersaccounts die niemand heeft aangemaakt.

Meer aanwijzingen vindt u onder Ben ik al gecompromitteerd?. Zijn er meerdere punten van toepassing, behandel de server dan als gehackt totdat het tegendeel is aangetoond.

Server gehackt: wat u nu direct doet

1. Blijf kalm en verander niets. Geen bestanden verwijderen, geen „snelle reparaties”, geen nieuwe installatie over de oude toestand heen.
2. Leg het tijdstip vast. Noteer wat u wanneer hebt waargenomen en wie het laatst wijzigingen aan het systeem heeft aangebracht.
3. Bewaar de logboeken. Toegangs-, fout- en systeemlogboeken mogen niet roteren of worden overschreven. Bij PHP2Shell adviseert de vakpers serverlogboeken vanaf 20-10-2026 te bewaren.
4. Verklein het aanvalsoppervlak. Haal de server van het openbare netwerk of sluit hem af met een firewall als er gegevens kunnen weglekken. Zet hem niet zomaar uit.
5. Verzamel de toegangen. Wie heeft SSH-, paneel-, FTP-, CMS- en databasetoegang? Wijzig wachtwoorden pas na overleg en alleen vanaf een schoon apparaat.
6. Wijs een aanspreekpunt aan. Een persoon met beslissingsbevoegdheid moet bereikbaar zijn, ook voor uitschakelen en herstarten.
7. Neem nu contact op. Bel ons of stuur een bericht via WhatsApp. Al het overige regelen we stap voor stap met u.

Van het netwerk halen of laten doordraaien?

Dit is de meest gestelde vraag in de eerste minuten, en ze heeft geen eenduidig antwoord. Draait er een webshop met betalingen of een portaal met klantgegevens, dan weegt de bescherming van de gegevens meestal zwaarder. Dan is tijdelijk afschermen juist, bijvoorbeeld met een onderhoudspagina of een firewallregel die alleen uw beheerders toelaat.

Hard uitschakelen is daarentegen zelden de beste eerste stap, omdat er in het werkgeheugen sporen zitten die een herstart wist. Beter is een kopie van het systeem, bijvoorbeeld een snapshot bij de hostingprovider, voordat er iets wordt gewijzigd. In de PHP2Shell-situatie adviseert het BSI webservers tijdelijk van het netwerk te halen als een update niet direct mogelijk is. Dat betekent niet dat elke uitgeschakelde server is gehackt.

Of u in uw geval afschermt, afknijpt of laat doordraaien, beslissen we samen met u op basis van wat er op het systeem staat.

Opnieuw opzetten of opschonen?

Veel mensen willen de server het liefst meteen opnieuw opbouwen. Dat is niet fout, maar pas na de back-up. Anders blijft onduidelijk hoe de aanvaller binnenkwam, en dezelfde weg staat ook open voor het nieuwe systeem. De afweging beschrijft de pagina Server opnieuw opzetten of opschonen?, het veiligstellen vóór een nieuwe opbouw de pagina Bewijzen veiligstellen voordat u opnieuw opzet.

Belangrijk: een PHP-update alleen lost het probleem niet op. Ze dicht het lek, maar verwijdert geen reeds ingebrachte malware. Hoe u sporen in de logboeken vindt, staat onder Webserverlogboeken na een aanval analyseren. En ga ervan uit dat toegangsgegevens uit configuratiebestanden zijn meegelezen: database-, e-mail- en API-toegangen horen op de lijst van te vernieuwen geheimen.

Hoe helpt PHP SOS concreet?

1. Situatie opnemen: Wij stellen samen met u vast wat is waargenomen, welke systemen getroffen kunnen zijn en welke gegevens daar staan.
2. Veiligstellen en dichten: Wij zetten bestanden, database en logboeken veilig voordat er iets wordt gewijzigd. Daarna houden we de aanval in bedwang en dichten we de toegangsdeur, bij PHP2Shell met patch en herstart van alle PHP-processen.
3. Controleren en opschonen: Wij zoeken naar webshells, achterdeuren, cronjobs en vreemde toegangen en verwijderen ze. Details staan onder Malware en webshells laten verwijderen.
4. Beveiligen en rapporteren: U krijgt documentatie met tijdlijn, vindplaatsen en aanbevelingen. Reikt het incident verder dan één server, dan gaan we over op gestructureerde Incident Response.

Wat u beter niet kunt doen

Onder stress worden vermijdbare fouten gemaakt. Verwijder geen „verdachte” bestanden op verdenking zonder ze eerst veilig te hebben gesteld. Voer geen opdrachten uit forums uit die u niet begrijpt. En installeer geen beveiligingsplugins op een server die mogelijk al is gecompromitteerd: schadelijke code kan scanners misleiden en het resultaat wiegt u in vals gevoel van veiligheid. Wees ook voorzichtig met tips om alle verzoeken met een bepaald sessie-ID te blokkeren; vakauteurs wijzen zulke adviezen over PHP2Shell uitdrukkelijk af. Uw eigen versie kunt u betrouwbaar controleren met php -v en een blik in de pakketchangelog van uw distributie, want backports laten het versienummer vaak ongewijzigd.

Wat u ons het best kunt sturen

• een korte beschrijving: wat is opgevallen, sinds wanneer, wat is er het laatst gewijzigd
• het soort systeem: eigen server, vServer, managed server of hostingpakket
• de toegang via SSH of paneel, of toestemming om met uw hostingprovider te spreken
• informatie over bestaande back-ups en hun leeftijd
• waarschuwingen van hostingprovider, browser of klanten in de letterlijke tekst

Ontbreekt er iets, neem dan toch contact op. De hiaten vullen we in het gesprek aan.

Waarom PHP SOS

Wij werken Made in Germany en zijn met ons partnernetwerk van cyberprofessionals al meer dan 25 jaar gespecialiseerd in IT-beveiliging. U hebt één aanspreekpunt; wij werken op afstand, zonder reistijd, in heel Duitsland en Europa. Elke stap wordt gedocumenteerd en we maken openlijk onderscheid tussen aangetoond, waarschijnlijk en onbekend. Beloften die niemand kan waarmaken doen we niet. Een overzicht van de nazorg staat in de checklist na een hack, de volledige noodhulp onder Website gehackt? Noodhulp op afstand. Over de meldplicht bij datalekken leest u de 72-uursregel; de juridische beoordeling blijft bij functionarissen voor gegevensbescherming en advocaten.

Bent u getroffen? Bel ons. Wij helpen.

Wacht niet tot uit het vermoeden grotere schade ontstaat. Wij nemen het over vanaf het eerste bericht en blijven erbij tot het incident is afgerond en gedocumenteerd. Meld nu uw noodgeval.

Veelgestelde vragen

Bronnen

• BSI: Duitse federale dienst voor informatiebeveiliging
• AVG art. 33: melding aan de toezichthouder
• OWASP Cheat Sheets