Como contratar um especialista para remover malware do WordPress após uma invasão

Seu site WordPress redireciona os visitantes para uma página de spam, o Google mostra “Este site pode ter sido invadido” no seu resultado de busca, ou a hospedagem suspendeu a conta.

Pode parecer que o site está perdido, mas posts, páginas e pedidos muitas vezes continuam no banco de dados. O risco maior é uma limpeza que tira o spam visível e deixa o backdoor. Assim, a mesma infecção volta.

Veja o que verifico nos primeiros dez minutos e como contratar um especialista para remover malware do WordPress sem dar a ele mais acesso do que o trabalho exige.

Sinais comuns de invasão em um site WordPress

Os sinais incluem redirecionamentos para páginas de spam ou de golpe, às vezes só para quem chega pelo Google ou usa o celular. O Google pode listar páginas que você nunca escreveu, às vezes em outro idioma. Você também pode ver um aviso vermelho no navegador, novos usuários administradores ou um aviso de suspensão da hospedagem.

As formas de invasão, mais ou menos na ordem em que costumo encontrá-las:

• Plugin ou tema desatualizado Ele tem uma falha de segurança conhecida. É de longe a causa mais comum.
• Senha roubada ou fraca Alguém conseguiu o login do WordPress, da conta de hospedagem ou do SFTP. Às vezes, esses dados foram roubados por um malware no próprio computador do dono do site.
• Plugin ou tema premium pirata Uma cópia “grátis” de um plugin ou tema pago muitas vezes já vem com um backdoor.
• Outro site infectado na mesma hospedagem Um site de teste esquecido pode infectar todos os outros sites na mesma hospedagem.

Uma invasão costuma adicionar código, não apagar conteúdo. A parte difícil é encontrar o backdoor, um arquivo escondido ou algumas linhas de código que deixam o invasor voltar depois que o spam visível some.

Se o site mostra um erro crítico ou uma tela branca e nenhum dos sinais acima, provavelmente é um problema técnico, não uma invasão. Esse é outro trabalho: como contratar alguém para consertar um site WordPress com problemas.

O que fazer primeiro (10 minutos)

Eu não começo apagando arquivos infectados. Os primeiros dez minutos servem para limitar o estrago e guardar as provas.

1. Não apague nada ainda. Esses arquivos podem mostrar como o invasor entrou. Apagá-los ou reinstalar plugins pode eliminar as pistas e deixar o backdoor no lugar.
2. Anote o que você vê e quando. Faça capturas de tela do redirecionamento ou do aviso, anote quando você percebeu o problema e liste as mudanças recentes, como um plugin novo, uma edição no tema ou um usuário novo.
3. Troque as senhas expostas. Troque as senhas da conta de hospedagem, dos usuários SFTP e de todos os administradores do WordPress, usando um computador de confiança. Se suspeitar que os logins foram roubados, faça uma varredura de malware nesse computador. Depois da limpeza, troque as senhas de novo.
4. Confira o Google Search Console. Abra Segurança e ações manuais → Problemas de segurança para ver o que o Google encontrou e exemplos de URLs. Só clique em “Solicitar revisão” quando a limpeza estiver concluída.

Fale também com a sua hospedagem. Ela pode já ter encontrado arquivos infectados e, se a conta estiver suspensa, pode explicar o que é preciso para restaurá-la.

Não tente limpar sozinho se você tem uma loja que guarda dados de clientes, se o site está enviando e-mails de spam ou se a hospedagem o suspendeu. Fazer testes em um site infectado que está no ar pode espalhar a infecção e manter o site sinalizado por mais tempo.

Se você prefere não mexer nos arquivos da hospedagem, pare aqui. Cada mudança a mais deixa o trabalho do desenvolvedor mais difícil. O próximo passo é escolher quem vai fazer a limpeza.

Onde contratar um desenvolvedor

Eu recomendo o Fiverr Pro para limpar um site WordPress hackeado, com escopo definido e preço fixo. O Fiverr avalia manualmente a experiência, o portfólio e o histórico de trabalho dos freelancers Pro antes de eles receberem o selo Pro. Eu mesmo trabalho no Fiverr, então sei como funcionam os pedidos, os pagamentos e as avaliações.

Quanto custa

O preço depende do que o vendedor verifica e limpa, não da gravidade aparente do problema. No momento em que escrevo, os preços do Fiverr Pro para remover malware do WordPress se dividem em três níveis:

O Fiverr também cobra uma pequena taxa de serviço na hora do pagamento. A entrega mais rápida costuma ter um custo extra.

O que o preço baixo costuma deixar de fora

Leia a descrição do pacote Básico duas vezes, porque ele é o serviço mais limitado que o vendedor oferece. Uma limpeza básica pode bastar para uma infecção simples, mas muitas vezes deixa de fora:

• o banco de dados, onde links de spam e scripts injetados costumam se esconder em posts e configurações
• o backdoor e a porta de entrada, e aí a mesma invasão volta
• a remoção da lista de avisos do Google e de outras listas de bloqueio
• atualizações e reforço de segurança depois da limpeza
• algumas semanas de acompanhamento, caso algo volte

Se a invasão já voltou uma vez, eu pagaria pelo menos pelo nível intermediário.

Como dar acesso com segurança

Um site hackeado pode já ter exposto alguns logins. Dê ao desenvolvedor apenas os acessos necessários para o trabalho, usando contas que você controla, e retire esses acessos quando o trabalho terminar.

1. Faça primeiro o seu próprio backup, mesmo que o site esteja infectado. Baixe os arquivos e o banco de dados pelo painel da hospedagem e guarde a cópia fora do servidor. Se a limpeza der errado, você pode usá-la para recuperar o site. Coloque “infectado” no nome para ninguém restaurá-la por engano.
2. Crie um administrador separado no WordPress para o desenvolvedor, em vez de compartilhar o seu login.
3. Dê acesso aos arquivos por um usuário SFTP separado. Crie esse usuário no painel da hospedagem. O desenvolvedor precisa acessar os arquivos para procurar código que um plugin de varredura pode deixar passar. Nunca compartilhe a senha da sua conta de hospedagem.
4. Guarde alguns logins só para você: os da empresa onde registrou o domínio, do Stripe ou PayPal e da caixa de entrada do e-mail de administrador do site.
5. Compartilhe senhas com segurança e só depois de fazer o pedido. Use o link de compartilhamento de um gerenciador de senhas. Não cole as senhas diretamente no chat.
6. Remova os acessos quando o trabalho terminar. Apague os usuários do WordPress e do SFTP criados para o desenvolvedor, troque todas as senhas de novo e confira Usuários → Administrador em busca de contas que você não reconhece. Peça ao desenvolvedor para trocar a senha do banco de dados, atualizá-la no wp-config.php e substituir as chaves de segurança do WordPress. As novas chaves encerram a sessão de todos que ainda estão conectados, inclusive o invasor.

Uma regra protege você mais do que todas as outras: mantenha a hospedagem e o domínio no seu próprio nome. Quem controla esses dois controla o site.

O que enviar antes de o trabalho começar

Envie isto antes de fazer o pedido ou cole nos requisitos do pedido no Fiverr:

• a URL do seu site
• o que você vê: o redirecionamento, o texto do aviso ou as páginas de spam, com capturas de tela, e onde o problema aparece (só no celular, só para quem vem do Google)
• quando você percebeu o problema e o que mudou logo antes
• o que o Google Search Console ou a hospedagem informaram, com exemplos de URLs
• sua hospedagem, a versão do WordPress e a versão do PHP (Ferramentas → Diagnóstico → Informação, se o painel funcionar)
• seu tema ou construtor de páginas, os principais plugins e qualquer plugin premium que você conseguiu fora da loja oficial
• se é uma loja que guarda dados de clientes
• quais backups você tem, com datas, e qual pode ser de antes da invasão
• o que você já fez (trocou senhas, apagou arquivos, rodou uma varredura)
• que acesso você está disposto a dar

No Fiverr, os requisitos do pedido registram o que o vendedor aceitou entregar. Descreva o resultado com palavras simples: “resultados de varredura sem malware, nenhuma página de spam injetada, ajuda para solicitar a revisão do aviso do Google e uma explicação de como o invasor entrou.”

Como escolher o desenvolvedor certo

Remover os arquivos infectados é só parte do trabalho. Escolha alguém que também encontre e feche a porta de entrada.

Procure avaliações sobre o mesmo problema

Procure avaliações que mencionem “hacked”, “redirect”, “spam pages” ou “blacklist”, e não só a nota geral. Leia as avaliações de uma a três estrelas e as respostas do vendedor. Uma avaliação que diz “it came back two weeks later” diz mais do que dez que dizem “fast delivery”.

Leia o que cada pacote inclui

Compare os pacotes item por item: limpeza do banco de dados, remoção de listas de bloqueio, reforço de segurança, dias de suporte depois da entrega. Um pacote chamado “remoção de malware” ainda pode ser só uma varredura.

Pergunte como ele encontra a porta de entrada

Um bom vendedor explica isso em uma ou duas frases: comparar seus arquivos com cópias limpas, verificar as versões dos plugins, os usuários e os logs do servidor. Um simples “vou rodar um scanner” costuma significar uma limpeza superficial.

Não dê peso demais ao nível do vendedor

No Fiverr, o nível de um vendedor mostra o histórico de pedidos, não a habilidade em segurança. Para uma loja ou uma invasão que continua voltando, eu escolheria alguém com avaliações de trabalhos desse mesmo tipo.

As perguntas que eu faria antes de fazer o pedido

• Você limpa o banco de dados também ou só os arquivos?
• Você vai me dizer como o invasor entrou?
• Você vai fazer um backup antes de mudar qualquer coisa?
• Você vai solicitar a remoção da lista de avisos do Google ou me mostrar como fazer isso?
• O que acontece se o malware voltar em até 30 dias?
• De que acesso você precisa, exatamente?

Sinais de alerta

• Pede a senha da sua conta de hospedagem ou o login do domínio quando um usuário do WordPress e um acesso SFTP bastariam.
• Quer levar a conversa ou o pagamento para fora do Fiverr. O Fiverr pede que os compradores mantenham os dois na plataforma, e o suporte só consegue ajudar com pedidos feitos lá.
• Promete que o seu site “nunca mais vai ser hackeado”. Um vendedor honesto fala em reduzir o risco.
• Oferece um plugin de segurança premium de graça. Isso é uma cópia pirata, e plugins piratas podem trazer malware.
• Planeja apagar e reinstalar tudo sem backup, ou sem dizer o que você perderia.
• Oferece desconto em troca de uma avaliação de cinco estrelas.

Depois da limpeza: confira, aceite e previna novas invasões

No Fiverr, você tem três dias para revisar uma entrega. Depois disso, o pedido é concluído automaticamente. Por isso, confira o trabalho no mesmo dia:

• abra o site em uma janela anônima e no celular, e entre nele clicando nos resultados do Google (alguns redirecionamentos só aparecem para quem vem do Google ou usa o celular)
• pesquise no Google site:seudominio.com.br e procure páginas que você não escreveu
• faça uma varredura remota gratuita, como o Sucuri SiteCheck (em inglês)
• confira se a lista em Usuários contém apenas contas que você conhece
• pergunte como o invasor entrou e anote
• peça qualquer ajuste pelo Fiverr antes de aceitar a entrega

Se o Google sinalizou o site, solicite uma análise no Search Console quando o site estiver limpo. O Google diz que uma análise pode levar de alguns dias a algumas semanas, e reenviar o pedido enquanto a revisão está pendente pode atrasar a próxima análise.

Depois, retire os acessos que você deu (veja acima). Atualize plugins e temas, remova os que você não usa, evite plugins premium piratas, ative a autenticação em duas etapas para os administradores e mantenha backups automáticos fora do servidor. Se a manutenção regular parece um segundo emprego, ela costuma custar menos do que outra limpeza.

Resumo

Remover malware do WordPress costuma ser um trabalho pequeno e com preço fixo, mas uma limpeza que só apaga o que está à vista muitas vezes permite que a invasão se repita. Guarde as provas, troque as senhas e escolha um vendedor que limpe o banco de dados e diga como o invasor entrou. Para manter o risco baixo, crie um login separado e retire esse acesso quando o trabalho terminar.