Strona zawirusowana - jak skutecznie usunąć malware?

Pod jednym słowem kryje się kilka różnych rzeczy, a od rodzaju zależy sposób czyszczenia.

Najgroźniejszy jest backdoor, bo nie daje objawów. Dopóki zostaje na serwerze, każde czyszczenie jest tymczasowe.

Sprawdzenie zajmuje kilkanaście minut i nie wymaga narzędzi.

1. Otwórz witrynę w trybie prywatnym i osobno z telefonu. Część infekcji uruchamia się tylko dla ruchu z wyszukiwarki albo tylko na urządzeniach mobilnych.
2. Wpisz w Google `site:twojadomena.pl` i przejrzyj listę. Obce podstrony, chińskie znaki albo nazwy leków w tytułach to jednoznaczny sygnał.
3. Zajrzyj w Search Console do raportu Problemy dotyczące bezpieczeństwa.
4. Sprawdź listę użytkowników i daty modyfikacji plików na serwerze. Pliki zmienione w środku nocy, poza Twoimi publikacjami, wskazują moment włamania.
5. Przejrzyj logi poczty w panelu hostingu, jeśli dostałeś ostrzeżenie o spamie.

Brak objawów niczego nie przesądza. Infekcje nastawione na spam w wynikach wyszukiwania potrafią działać miesiącami, zanim właściciel cokolwiek zauważy. Najczęściej dowiaduje się o nich od klienta, który zobaczył czerwony ekran ostrzeżenia, albo od firmy hostingowej po skardze na spam.

Prawie nigdy nie chodzi o Ciebie osobiście. Boty skanują internet w poszukiwaniu witryn z konkretną, opisaną publicznie luką i infekują wszystko, co pasuje.

Nieaktualne wtyczki i motywy. Opublikowana poprawka bezpieczeństwa jest jednocześnie mapą dla atakujących. Witryny bez aktualizacji są celem pierwszego wyboru.

Motywy z nieoficjalnych źródeł. Wersja płatna pobrana za darmo bywa kompletna razem z dodatkiem, którego nie zamawiałeś.

Słabe hasła i brak drugiego składnika. Automat testuje tysiące kombinacji dziennie i nie potrzebuje żadnej luki w kodzie.

Hosting bez izolacji kont. Według ofert popularnych hostingów pakiety za 20-30 zł miesięcznie zwykle trzymają wiele witryn na jednym koncie systemowym, więc infekcja jednej z nich przenosi się na sąsiednie.

Zabezpieczenie stanu bieżącego

Najpierw kopia całości, łącznie z infekcją. To materiał do ustalenia, kiedy i czym weszli, oraz zabezpieczenie na wypadek, gdyby czyszczenie zaszło za daleko.

Ustalenie źródła

Data modyfikacji plików, logi serwera i lista kont użytkowników pokazują moment wejścia. Bez tego kroku czyści się objawy i czeka na nawrót.

Czyszczenie plików i bazy

Pliki rdzenia, wtyczek i motywów wymieniamy na oryginalne wersje zamiast leczyć zainfekowane. Bazę przeglądamy pod kątem wstrzykniętych wpisów i obcych adresów w opcjach. Osobno sprawdzamy zadania cron, bo to w nich siedzi mechanizm odtwarzania.

Zamknięcie drogi wejścia

Wymiana haseł i kluczy, usunięcie nieużywanych wtyczek, aktualizacje, firewall i kopie zapasowe. Ten etap decyduje o tym, czy sprawa wróci.

Ostrzeżenie o niebezpiecznej witrynie kosztuje więcej niż sama infekcja, bo odcina ruch natychmiast i we wszystkich przeglądarkach opartych na silniku Chrome.

Po wyczyszczeniu witryny składasz w Search Console wniosek o ponowne rozpatrzenie, w raporcie Problemy dotyczące bezpieczeństwa. Opisz, co było przyczyną i co zostało zrobione. Ogólniki wydłużają procedurę.

Zanim złożysz wniosek, sprawdź witrynę narzędziem do testowania adresu w Search Console. Jeśli podgląd nadal pokazuje przekierowanie albo obcą treść, znaczy to, że czyszczenie nie objęło wszystkiego i wniosek zostanie odrzucony.

Zdjęcie ostrzeżenia trwa zwykle od jednego do trzech dni. Pozycje wracają wolniej, przeważnie w ciągu jednego do czterech tygodni, bo część podstron w międzyczasie wypadła z indeksu. Jeśli infekcja wygenerowała setki spamerskich adresów, trzeba je osobno usunąć z wyników.

Przy masowej wysyłce spamu albo dużym obciążeniu firma hostingowa potrafi zawiesić konto bez uprzedzenia. Z jej perspektywy to ochrona pozostałych klientów i reputacji serwerów pocztowych.

Odblokowanie wymaga zwykle trzech rzeczy: wyczyszczenia witryny, wskazania przyczyny i potwierdzenia, że droga wejścia została zamknięta. Zgłoszenie w stylu prośby o przywrócenie bez opisu działań zwykle wraca z pytaniami i wydłuża przestój.

Sprawdź też pozostałe witryny na koncie. Jeśli kilka instalacji WordPressa dzieli jedno konto systemowe, infekcja jednej z nich zwykle oznacza infekcję sąsiednich, nawet jeśli nie dają jeszcze objawów. Czyszczenie tylko tej jednej, która hałasuje, kończy się powrotem problemu w ciągu kilku dni.

Jeśli domena trafiła na czarne listy serwerów pocztowych, po naprawie trzeba osobno poprosić o jej usunięcie z każdej z nich. Bez tego poczta firmowa nadal będzie odbijana.

Według naszego cennika standardowe czyszczenie mieści się w 500-1000 zł. Dane z większych zleceń pokazują 1500-3000 zł przy sklepach, bo dochodzi weryfikacja zamówień, integracji płatności i danych klientów.

Pierwsza reakcja następuje w ciągu dwóch godzin od zgłoszenia, także w weekend. Po zakończeniu obserwujemy witrynę przez 30 dni, bo nawrót zdarza się właśnie w tym oknie.

• Aktualizacje wtyczek i rdzenia w stałym rytmie, nie po awarii
• Kopie zapasowe poza serwerem witryny, z odtworzeniem sprawdzonym przynajmniej raz
• Dwuskładnikowe logowanie i osobne hasło do każdej usługi
• Zero wtyczek i motywów z nieoficjalnych źródeł, nawet w wersji testowej
• Usunięcie wszystkiego, czego nie używasz, bo nieaktywna wtyczka też bywa drogą wejścia

Robimy to w ramach stałej opieki nad stroną WordPress - aktualizacje, kopie zapasowe, monitoring zmian w plikach. Jeśli podejrzewasz infekcję teraz, napisz przez formularz na stronie kontakt i opisz objawy oraz datę, od której je widzisz.