Як найняти фахівця з очищення сайту WordPress від вірусів після зламу

Ваш сайт на WordPress перенаправляє відвідувачів на спам-сторінку, Google показує під посиланням на нього в пошуку «Можливо, цей сайт зламано», або хостинг заблокував ваш акаунт.

Може здаватися, що сайт втрачено, але статті, сторінки й замовлення часто досі є в базі даних. Більше варто остерігатися очищення, яке прибере видимий спам, але залишить бекдор (прихований вхід для зловмисника). Тоді те саме зараження повернеться.

Ось що я перевіряю в перші десять хвилин і як найняти фахівця з очищення сайту WordPress від вірусів, не надаючи йому більше доступу, ніж потрібно для роботи.

Як зазвичай виглядає зламаний сайт на WordPress

Серед ознак: перенаправлення на спам чи шахрайські сторінки, іноді лише для відвідувачів, які прийшли з Google або відкрили сайт із телефона. Google може показувати сторінки, яких ви не писали, іноді іншою мовою. Ви можете побачити червоне попередження браузера, нових адміністраторів або повідомлення від хостингу про блокування.

Шляхи проникнення, з якими я стикаюся, приблизно в такому порядку:

• Застарілий плагін або тема У них є відома вразливість. Ця причина трапляється набагато частіше за решту.
• Викрадений або слабкий пароль Хтось отримав дані для входу у WordPress, акаунт хостингу або SFTP. Іноді їх викрало шкідливе ПЗ на комп’ютері самого власника.
• Піратський преміум-плагін або тема «Безкоштовна» копія платного плагіна чи теми часто вже містить бекдор.
• Інший заражений сайт на тому самому хостингу Один забутий тестовий сайт може заразити всі сайти поруч.

Під час зламу часто додають код, а не стирають вміст. Найважче знайти бекдор: прихований файл або кілька рядків коду, які дають зловмиснику змогу повернутися, коли видимий спам уже прибрано.

Якщо сайт показує критичну помилку або білий екран, а жодної з ознак вище немає, найімовірніше, це технічна несправність, а не злам. Це інша робота: як найняти фахівця, щоб відновити роботу сайту на WordPress.

Спершу спробуйте це (10 хвилин)

Я не починаю з видалення заражених файлів. Перші десять хвилин потрібні, щоб обмежити шкоду і зберегти сліди.

1. Поки нічого не видаляйте. Ці файли можуть показати, як зловмисник потрапив на сайт. Якщо їх видалити або перевстановити плагіни, можна знищити сліди, а бекдор залишиться на місці.
2. Запишіть, що ви бачите і коли. Зробіть знімки екрана з перенаправленням чи попередженням, запишіть, коли ви це помітили, і перелічіть останні зміни: новий плагін, правку теми або нового користувача.
3. Змініть паролі, які могли витекти. З комп’ютера, якому довіряєте, змініть паролі до акаунта хостингу, усіх користувачів SFTP і кожного адміністратора WordPress. Якщо підозрюєте, що дані для входу викрали, перевірте цей комп’ютер на шкідливе ПЗ. Після очищення змініть паролі ще раз.
4. Перевірте Google Search Console. Відкрийте Security & Manual Actions → Security issues (розділ про проблеми безпеки), щоб побачити, що знайшов Google, і приклади адрес. Не натискайте «Request review» (запит на перевірку), доки очищення не завершено.

Зверніться також до свого хостингу. Можливо, там уже знайшли заражені файли, а якщо акаунт заблоковано, вам пояснять, що потрібно, щоб його відновити.

Не беріться за очищення самі, якщо у вас магазин, який зберігає дані клієнтів, сайт розсилає спам або хостинг його заблокував. Експерименти на зараженому сайті, що працює, можуть поширити зараження, а попередження про небезпеку може залишатися довше.

Якщо ви не хочете чіпати файли на хостингу, зупиніться тут. Кожна зайва зміна ускладнює роботу розробника. Наступний крок: обрати, хто очистить сайт.

Хто очистить сайт WordPress від вірусів

З такою проблемою можете звернутися до мене.

Що входить в очищення сайту

Обсяг роботи залежить від того, наскільки ретельно чистять сайт, а не від того, як погано він виглядає. Очищення можна поділити на три рівні:

Що зазвичай пропускає поверхневе очищення

Уважно перечитайте, що входить у базове очищення: це найменший обсяг роботи, який пропонує виконавець. Його може вистачити для простого зараження, але воно часто не охоплює:

• базу даних, де в статтях і налаштуваннях часто ховаються спам-посилання та сторонні скрипти
• бекдор і шлях, яким зловмисник потрапив на сайт, тож той самий злам повертається
• вилучення сайту зі списку небезпечних сайтів Google та інших чорних списків
• оновлення і посилення захисту після очищення
• кілька тижнів підтримки, якщо щось повернеться

Якщо сайт уже заражали повторно, базового очищення замало: потрібен щонайменше середній рівень.

Як безпечно дати доступ

Частина даних для входу на зламаний сайт уже могла потрапити до зловмисників. Надайте розробнику лише потрібний для роботи доступ через акаунти, які ви контролюєте. Коли роботу буде завершено, відкличте доступ.

1. Спершу зробіть власну резервну копію, навіть заражену. Завантажте файли й базу даних із панелі хостингу і зберігайте копію не на сервері. Якщо очищення піде не так, з неї можна відновити сайт. Назвіть її «infected», щоб ніхто не відновив її помилково.
2. Створіть окремого адміністратора WordPress для розробника замість того, щоб передавати йому свої дані для входу.
3. Дайте доступ до файлів через окремого користувача SFTP. Створіть його в панелі хостингу. Розробнику потрібен доступ до файлів, щоб знайти код, який плагін-сканер може пропустити. Ніколи не давайте пароль від акаунта хостингу.
4. Не передавайте дані для входу до цих сервісів: реєстратора домену, Stripe або PayPal і поштової скриньки з адміністративною адресою сайту.
5. Передавайте паролі безпечно і лише тоді, коли ви домовилися про роботу. Використовуйте посилання для спільного доступу з менеджера паролів, а не звичайний текст у чаті.
6. Відкличте весь доступ, коли роботу завершено. Видаліть користувачів WordPress і SFTP, створених для розробника, ще раз змініть усі паролі та перевірте, чи немає незнайомих акаунтів у розділі Користувачі → Адміністратор. Попросіть розробника змінити пароль бази даних, оновити його у wp-config.php і замінити ключі безпеки WordPress. Нові ключі завершують сеанси всіх, хто досі в системі, зокрема й зловмисника.

Насамперед подбайте, щоб хостинг і домен були зареєстровані на ваше ім’я. Хто контролює їх, той контролює сайт.

Що надіслати до початку роботи

Підготуйте й надішліть:

• адресу вашого сайту
• що ви бачите: перенаправлення, текст попередження чи спам-сторінки, зі знімками екрана, і де це видно (лише на телефонах, лише при переході з Google)
• коли ви це помітили і що змінилося перед тим
• що повідомили Google Search Console або хостинг, з прикладами адрес
• ваш хостинг, версію WordPress і версію PHP (Інструменти → Здоров’я сайту → Інформація, якщо адмінка працює)
• вашу тему або конструктор сторінок, основні плагіни і всі преміум-плагіни, отримані не з офіційного магазину
• чи це магазин, який зберігає дані клієнтів
• які резервні копії у вас є, з датами, і яка з них може бути зроблена до зламу
• що ви вже зробили (змінили паролі, видалили файли, запустили сканування)
• який доступ ви готові дати

Опишіть простими словами й результат, якого чекаєте: «сканування не виявляє загроз, немає доданих зловмисниками спам-сторінок, є допомога із запитом на перевірку Google та пояснення, як зловмисник потрапив на сайт». Так буде зрозуміло, про що саме ви домовилися.

Як я працюю з очищенням

Видалення заражених файлів становить лише частину роботи. Тому я також шукаю й закриваю шлях проникнення і дотримуюся кількох правил:

• чищу не лише файли, а й базу даних
• роблю резервну копію, перш ніж щось змінювати
• шукаю шлях проникнення: порівнюю ваші файли з чистими копіями, перевіряю версії плагінів, користувачів і журнали сервера
• прошу лише той доступ, який потрібен для роботи
• після очищення пояснюю, як зловмисник потрапив на сайт

Тривожні сигнали

Хто б не працював із вашим сайтом, насторожитися варто, якщо виконавець:

• Просить пароль від акаунта хостингу або реєстратора домену, хоча вистачило б окремого користувача WordPress і доступу SFTP.
• Обіцяє, що ваш сайт «більше ніколи не зламають». Чесний виконавець говорить про зниження ризику.
• Пропонує преміум-плагін безпеки безкоштовно. Це піратська копія, а піратські плагіни можуть містити шкідливе ПЗ.
• Збирається стерти й перевстановити все без резервної копії або не сказавши, що ви втратите.

Після очищення: перевірка, приймання роботи та захист

Перевірте роботу того ж дня:

• відкрийте сайт у приватному вікні браузера і на телефоні, а також перейдіть на нього з результатів Google (деякі перенаправлення бачать лише ті, хто прийшов з Google або зайшов із телефона)
• пошукайте в Google site:вашсайт.com.ua і перевірте, чи немає сторінок, яких ви не писали
• запустіть безкоштовне віддалене сканування, наприклад Sucuri SiteCheck (англійською)
• перевірте, що в розділі Користувачі є лише знайомі вам акаунти
• спитайте, як зловмисник потрапив на сайт, і запишіть це
• про все, що треба доробити, скажіть одразу, перш ніж прийняти роботу

Якщо Google позначив сайт, подайте запит на перевірку в Search Console, коли сайт буде чистим. Google пише, що перевірка може тривати від кількох днів до кількох тижнів (англійською), а повторний запит, поки триває попередній, може сповільнити наступну перевірку.

Потім відкличте доступ, який ви дали (див. вище). Оновіть плагіни й теми, видаліть ті, якими не користуєтеся, не ставте піратські преміум-плагіни, увімкніть двофакторний вхід для адміністраторів і налаштуйте автоматичні резервні копії, які зберігаються не на сервері. Якщо регулярне обслуговування здається вам другою роботою, воно зазвичай коштує менше, ніж ще одне очищення.

Напишіть мені, якщо потрібне очищення бази даних і файлів із пошуком та закриттям шляху проникнення.

Підсумок

Очищення сайту WordPress від вірусів зазвичай є невеликою роботою. Але якщо прибрати лише видимі сліди, зараження часто повертається. Збережіть сліди, змініть паролі, а потім напишіть мені. Хто б не чистив сайт, він має очистити й базу даних і пояснити, як зловмисник потрапив на сайт. Щоб знизити ризик, створіть для виконавця окремий акаунт і видаліть його після завершення роботи.