Objawy widoczne dla odwiedzających
Pierwsze trzy objawy zauważają zwykle klienci, zanim zauważy je właściciel. Dlatego warto od czasu do czasu wejść na własną stronę tak, jak wchodzi gość, bez zalogowania i najlepiej z telefonu.
- Przekierowania na obce strony. Strona otwiera się poprawnie, ale po kliknięciu w link albo tylko na telefonie przenosi do witryny z reklamami lub podejrzaną ofertą. Złośliwy kod często przekierowuje wyłącznie odwiedzających z wyszukiwarki albo z urządzeń mobilnych, więc ty, wchodząc bezpośrednio, możesz niczego nie zobaczyć.
- Ostrzeżenie w przeglądarce lub wyszukiwarce. Komunikat o niebezpiecznej witrynie albo napis, że strona może być zhakowana, oznacza, że ktoś już zgłosił lub wykrył problem. Szczegółowo opisujemy to w poradniku ta witryna może być zhakowana.
- Wyskakujące okna i reklamy, których nie dodałeś. Jeśli na stronie bez reklam pojawiają się banery, okna z loterią albo prośby o zainstalowanie aktualizacji, kod został wstrzyknięty do motywu, wtyczki lub bazy.
Objawy widoczne w wynikach wyszukiwania
Kolejne objawy pokazują się w Google i narzędziach dla webmasterów. Często mylone są ze zwykłymi wahaniami pozycji, a bywają jedynym sygnałem, że ktoś wykorzystuje twoją domenę.
- Obce strony w indeksie. Wpisz w Google zapytanie site:twojadomena.pl i przejrzyj wyniki. Tysiące adresów, o których nie wiesz, z tytułami o lekach, kasynach albo w obcym języku, to klasyczny ślad spamu SEO. Jeden z wariantów opisaliśmy w tekście o japońskim spamie SEO w WordPressie.
- Nagły spadek ruchu lub pozycji. Gdy strona traci widoczność bez zmian po twojej stronie, sprawdź Search Console: sekcję zabezpieczeń i działań ręcznych.
- Inne opisy w wynikach niż na stronie. Jeśli fragment pod tytułem mówi o czymś zupełnie innym niż treść, wyszukiwarka dostaje inną wersję strony niż ty. To tak zwany cloaking, czyli przekierowanie zależne od wyszukiwarki.
Objawy widoczne w panelu i na serwerze
Ostatnie trzy objawy znajdziesz po zalogowaniu się do panelu WordPress i do konta hostingowego. Wymagają chwili uwagi, ale potwierdzają podejrzenie najpewniej.
- Nieznani użytkownicy z rolą administratora. W panelu przejdź do listy użytkowników i sprawdź, czy każde konto z uprawnieniami administratora jest twoje. Dodatkowy administrator to jeden z najczęstszych śladów włamania.
- Nowe pliki i zmiany w starych. Pliki PHP w katalogu uploads, pliki o losowych nazwach w głównym katalogu albo niedawno zmieniona data motywu, którego nie edytowałeś, wskazują na wstrzyknięty kod.
- Wiadomości od hostingu i problemy z pocztą. List od dostawcy hostingu o wysokim zużyciu zasobów, zawieszone konto albo wiadomości ze strony trafiające do spamu sugerują, że serwer wysyła niechciane maile lub bierze udział w ataku.
Co sprawdzić, gdy podejrzewasz infekcję
Kolejność ma znaczenie. Najpierw zabezpiecz dowody i dostęp, potem naprawiaj, bo pośpieszne kasowanie plików potrafi zniszczyć ślady przyczyny.
- Zrób kopię strony w obecnym stanie, nawet zainfekowanym, i przechowaj ją osobno.
- Zmień hasła do WordPressa, bazy danych, FTP i konta hostingowego, a najlepiej włącz dodatkowe uwierzytelnianie dla administratorów.
- Porównaj pliki rdzenia WordPress z oficjalną wersją. Sumy kontrolne wskazują zmodyfikowane pliki.
- Przejrzyj wtyczki i motywy. Usuń te, których nie używasz, i zaktualizuj pozostałe. Nieaktualne dodatki to najczęstsza droga wejścia.
- Sprawdź Search Console i narzędzia ostrzeżeń przeglądarek pod kątem zgłoszeń.
Ręczne przeglądanie plików zajmuje godziny i łatwo coś przeoczyć, bo złośliwy kod bywa zakodowany lub ukryty w bazie danych. Dlatego skan sprawdza pliki, bazę i wstrzyknięte skrypty jednocześnie.
Zainfekowana strona WordPress, czyszczenie krok po kroku
Pełne czyszczenie obejmuje kilka etapów. Najpierw usuwa się złośliwy kod z plików i bazy, potem przywraca czyste pliki rdzenia z sum kontrolnych, następnie zamyka drogę wejścia przez aktualizację lub usunięcie podatnego dodatku, a na końcu zmienia wszystkie dostępy. Kopia wykonana przed każdą zmianą pozwala wrócić, jeśli coś pójdzie nie tak.
Jeśli w wynikach Google lub w przeglądarce widnieje ostrzeżenie, po oczyszczeniu składasz prośbę o ponowną weryfikację w Search Console. Kroki opisujemy w osobnym wpisie, a po stronie produktu znajdziesz ich opis w sekcji usuwanie wirusów ze strony oraz co robić po włamaniu na stronę.
Po czyszczeniu najważniejsze jest zapobieganie powrotowi infekcji. Wskazówki zebraliśmy w liście kontrolnej jak zabezpieczyć stronę WordPress, a stałą ochronę zapewnia opieka nad WordPressem ze skanem, zaporą i monitoringiem czarnych list.
Dlaczego nie warto czekać z reakcją
Wielu właścicieli zakłada, że drobny objaw poczeka do końca miesiąca. Infekcja jednak narasta. Złośliwy kod z czasem dopisuje kolejne pliki, tworzy dodatkowe konta i zostawia ukryte furtki, przez które atakujący wraca nawet po częściowym czyszczeniu. Każdy dzień zwłoki zwiększa zakres prac i pogarsza opinię wyszukiwarki o twojej domenie.
Jest też ryzyko dla odwiedzających. Jeśli strona rozsyła złośliwe oprogramowanie albo przechwytuje dane z formularzy, odpowiedzialność wizerunkowa spada na ciebie. W sklepie dochodzi ryzyko wycieku danych klientów i utraty zamówień w trakcie przestoju.
Dlatego zasada jest prosta: jeśli pasuje do ciebie choćby jeden objaw z listy, uruchom skan i sprawdź stan strony. Gdy wynik jest czysty, zyskujesz spokój. Gdy wykryje infekcję, masz konkretną listę zmienionych plików i wiesz, od czego zacząć. Dodatkowo warto zajrzeć na stronę wirus na stronie, gdzie opisujemy natychmiastowe kroki.
Zacznij od skanu swojej strony
Wpisz adres strony i uruchom skan. Sprawdzamy pliki, bazę, wstrzyknięte skrypty, ukryte linki spamowe oraz przekierowania zależne od wyszukiwarki i telefonu. W planie abonamentowym skan wykonuje się automatycznie, a odwirusowanie jest w cenie, więc nie płacisz osobno za czyszczenie. Szczegóły planów znajdziesz w cenniku.