Naprawa przekierowań strony WordPress na spam i obce witryny

Przekierowania z infekcji rzadko wyglądają tak samo u każdego odwiedzającego, co utrudnia ich wykrycie. Właściciel często nic nie widzi, bo atakujący wyłącza przekierowanie dla zalogowanych użytkowników i dla adresów IP administratora. Typowe sygnały to:

• klienci piszą, że po kliknięciu w wynik Google trafili na obcą stronę, a Ty po wpisaniu adresu widzisz ją poprawnie,
• przekierowanie działa tylko z telefonu albo tylko po wejściu z wyszukiwarki,
• w wynikach Google pod Twoją domeną pojawiają się obce tytuły, jak w przypadku japońskiego spamu SEO,
• ruch spada, a w Search Console rosną błędy i ostrzeżenia o bezpieczeństwie,
• przeglądarka pokazuje czerwony ekran, o którym piszemy we wpisie ta witryna może być zhakowana.

Pełną listę objawów znajdziesz we wpisie o zainfekowanej stronie WordPress.

1. Wpisujesz adres strony i w 30 sekund widzisz podejrzane pliki oraz podatne wtyczki.

2. Wybierasz plan i przekazujesz dostęp do hostingu lub panelu WordPress.

3. Robimy kopię obecnego stanu, żeby każdy krok dało się cofnąć.

4. Usuwamy kod przekierowujący z plików i bazy, sprawdzamy .htaccess, motywy, wtyczki oraz konta administratorów.

5. Zmieniamy hasła i klucze, aktualizujemy albo wymieniamy podatną wtyczkę i testujemy stronę z telefonu oraz z wyszukiwarki.

6. Pomagamy zdjąć ostrzeżenia Google, a skan pilnuje strony dalej, co 24 godziny albo co godzinę.

Najczęstszy scenariusz wygląda tak: ktoś usuwa podejrzany fragment z pliku motywu, strona działa dwa dni, po czym przekierowanie wraca. Powód jest prosty. Atakujący zostawił drugi plik, konto administratora albo zadanie cron, które odtwarza kod. Do tego podatna wtyczka nadal jest zainstalowana, więc ten sam atak da się powtórzyć. Dlatego po czyszczeniu liczy się zamknięcie furtki i stały nadzór, które opisuje strona o zabezpieczeniu WordPressa oraz o monitoringu strony internetowej.