Usuwanie infekcji ze strony internetowej, jak wyczyścić zainfekowaną witrynę krok po kroku
W skrócie: usuwanie infekcji ze strony internetowej to nie tylko skasowanie jednego podejrzanego pliku. Trzeba znaleźć i usunąć cały złośliwy kod, zamknąć lukę, przez którą napastnik wszedł, oraz upewnić się, że nie zostały ukryte „tylne drzwi". Inaczej infekcja wróci w kilka dni.
Zhakowanie strony rzadko wygląda jak w filmach. Najczęściej objawia się ciszej: w wynikach Google pojawia się spam, odwiedzający są przekierowywani na obce strony, antywirus straszy przy wejściu, a przeglądarka pokazuje czerwony ekran „strona niebezpieczna". Poniżej tłumaczymy, jak wyczyścić zainfekowaną witrynę i, co najważniejsze, jak sprawić, żeby infekcja nie wróciła.
Skąd wiadomo, że strona jest zainfekowana
Typowe objawy to przekierowania na obce domeny, nieznane podstrony z lekami lub hazardem w wynikach wyszukiwania, ostrzeżenie Google „ta witryna może wyrządzić szkody", skoki ruchu z dziwnych krajów, nowe konta administratora i spowolnienie strony. Jeśli widzisz choć jeden z tych sygnałów, potraktuj stronę jak zainfekowaną. Więcej objawów opisujemy we wpisach jak poznać, że strona ma wirusa oraz reklamy i przekierowania jako objaw infekcji.
Usuwanie infekcji ze strony, krok po kroku
1. Zatrzymaj szkody i zabezpiecz dowody
Najpierw ogranicz zasięg. Włącz tryb konserwacji albo tymczasowo odetnij stronę od ruchu, żeby nie zarażała odwiedzających i nie psuła dalej reputacji w Google. Zanim zaczniesz kasować, zrób pełną kopię aktualnego stanu (pliki plus baza). To dowód i zabezpieczenie na wypadek, gdyby coś poszło nie tak. Jeśli nie wiesz, od czego zacząć w pierwszych minutach, pomoże poradnik na pierwszą godzinę po włamaniu.
2. Znajdź złośliwy kod w plikach
Szukaj plików zmienionych w dniu infekcji, podejrzanych skryptów PHP w katalogu uploadów (tam nie powinno być kodu wykonywalnego), zaciemnionego kodu (eval, base64_decode, długie ciągi znaków) oraz tak zwanych webshelli, czyli małych plików dających napastnikowi zdalną kontrolę. Porównanie plików z czystą kopią zapasową albo ze świeżą, oryginalną wersją systemu (WordPress, Joomla, wtyczki) bardzo przyspiesza namierzenie zmian.
3. Wyczyść bazę danych
Infekcja często siedzi też w bazie: wstrzyknięte skrypty w treści wpisów, podmienione adresy, ukryci administratorzy, złośliwe wpisy w opcjach. Tę część trzeba przejrzeć osobno, bo czyszczenie samych plików jej nie ruszy. Pomocny bywa wpis czyszczenie bazy WordPress.
4. Zamknij lukę, przez którą napastnik wszedł
To najważniejszy krok, który najczęściej się pomija. Jeśli nie zamkniesz wejścia, infekcja wróci. Zaktualizuj rdzeń systemu, wtyczki i motywy, usuń piracki („nulled") kod, zmień wszystkie hasła (panel, baza, FTP, hosting) i włącz silne hasła oraz 2FA. Sprawdź też, czy problem nie leży po stronie serwera, jak w przypadku krytycznej luki w PHP.
5. Usuń backdoory i zadania cron
Napastnicy prawie zawsze zostawiają sobie ukryte wejścia, przez które infekcja wraca. Przejrzyj zadania cron, nieznane konta, dodane klucze i reguły przekierowań. Dopiero usunięcie wszystkich tylnych drzwi kończy sprzątanie.
6. Przywróć stronę i poproś Google o ponowne sprawdzenie
Gdy strona jest czysta i luka zamknięta, przywróć normalny ruch. Jeśli witryna była oznaczona jako niebezpieczna, poproś o ponowną weryfikację, co opisujemy we wpisie Google oznaczył stronę jako niebezpieczną. Po zdjęciu ostrzeżenia pozycje zwykle wracają.
Czego NIE robić
Nie kasuj w panice pojedynczych plików bez kopii, bo możesz uszkodzić stronę i stracić dowody. Nie licz na to, że „jeden skan wtyczką" załatwi sprawę. Nie przywracaj starej kopii bez zamknięcia luki, bo zainfekuje się ponownie. I nie zostawiaj pracy w połowie: niedoczyszczona strona wraca do stanu zainfekowanego, a kolejne sprzątanie jest trudniejsze.
Jak nie dać się zainfekować ponownie
Sprzątanie to koszt, którego zwykle można uniknąć. Podstawy to: regularne aktualizacje bez psucia strony, kopie zapasowe w modelu 3-2-1, mocne hasła z 2FA oraz monitoring, który wyłapie infekcję, zanim zrobi się z niej duży problem. To właśnie składa się na stałą opiekę nad stroną.
Nie chcesz robić tego sam?
Usuwanie infekcji bywa żmudne i łatwo coś przeoczyć, a jedno niedoczyszczone tylne drzwi sprowadza cały problem z powrotem. Jeśli Twoja strona jest zainfekowana albo Google ją oznaczył, napisz do nas. Wyczyścimy ją, zamkniemy lukę wejścia i zabezpieczymy na przyszłość. Zobacz też, na czym polega nasza opieka nad stroną.