Usuwanie backdoora i ukrytego administratora WordPress
Strona została wyczyszczona, a po kilku dniach znowu przekierowuje na spam albo pojawia się nieznany administrator. To prawie zawsze znaczy, że w plikach lub bazie został backdoor, czyli tylne wejście zostawione przez atakującego. Wyszukujemy wszystkie takie wejścia, usuwamy je razem z kontami, które sobie założył, i zamykamy wtyczkę, przez którą się dostał. Wchodzi to w abonament od 195 zł netto miesięcznie przy płatności rocznej.
Po czym poznać, że w WordPressie został backdoor
Pierwsza infekcja jest głośna: spam, czerwony ekran Google, zawieszone konto. Backdoor jest cichy i służy do tego, by wrócić. Najczęściej widać go po skutkach:
- infekcja wraca po każdym ręcznym czyszczeniu, zwykle w ciągu kilku dni,
- w panelu pojawia się administrator, którego nikt nie dodał, albo znika zwykły użytkownik,
- w katalogu wp-content są pliki PHP o losowych nazwach, w uploads albo w folderach wtyczek,
- wtyczka, której nie instalowałeś, pojawia się na liście lub działa mimo wyłączenia,
- hosting zgłasza podejrzany ruch wychodzący albo nagłe skoki obciążenia.
Pełną listę sygnałów ostrzegawczych opisujemy w tekście o objawach zainfekowanej strony WordPress.
Gdzie atakujący chowają tylne wejścia
Doświadczenie z czyszczenia stron pokazuje kilka powtarzalnych miejsc. Dlatego samo skasowanie jednego pliku zwykle nie kończy sprawy.
1. Pliki PHP w uploads, gdzie nie powinno być żadnego kodu wykonywalnego.
2. Zmodyfikowane pliki motywu, na przykład functions.php albo header.php, z zakodowanym fragmentem w base64.
3. Fałszywe wtyczki, które wyglądają jak narzędzia systemowe i nie występują w katalogu WordPress.org.
4. Dodatkowi administratorzy, także tacy, których panel ukrywa przed listą użytkowników.
5. Zadania wp-cron i wpisy w tabeli opcji, które po usunięciu pliku pobierają go ponownie z zewnątrz.
6. Zmienione pliki rdzenia WordPressa, wykrywane przez porównanie sum kontrolnych z oficjalną paczką.
Gdy samo przekierowanie jest głównym objawem, zobacz też stronę o naprawie przekierowań na spam.
Jak usuwamy backdoor i ukrytego administratora
1. Skan strony wskazuje zmienione pliki rdzenia, podejrzane pliki PHP i niezgodności w bazie.
2. Zapisujemy kopię obecnego stanu jako materiał do analizy i do cofnięcia zmian.
3. Zastępujemy pliki rdzenia czystą paczką, a motywy i wtyczki odtwarzamy z oficjalnych źródeł.
4. Przeszukujemy uploads, motywy i bazę pod kątem kodu wykonywalnego, zaplanowanych zadań i obcych opcji.
5. Usuwamy nieznanych administratorów, zmieniamy hasła, klucze bezpieczeństwa i sesje logowania.
6. Ustalamy, którą wtyczką lub kontem atak wszedł, i aktualizujemy ją albo wskazujemy zamiennik.
7. Włączamy skan co 24 godziny i kopie poza serwerem, żeby kolejne tylne wejście wyszło na jaw w dobę.
Zalecenia producenta dotyczące wzmacniania instalacji znajdziesz w oficjalnej dokumentacji WordPress o zabezpieczaniu strony. My robimy te kroki za Ciebie i pilnujemy ich w czasie.
Dlaczego własne czyszczenie rzadko wystarcza
Właściciel firmy zwykle usuwa to, co widzi: plik z komunikatu hostingu albo wtyczkę z ostrzeżenia skanera. Atakujący zakłada jednak zwykle więcej niż jedno wejście, żeby przetrwać pierwsze czyszczenie. Do tego dochodzi czas. Każdy dzień nieudanych prób to dzień, w którym strona może wysyłać spam, przekierowywać klientów i tracić pozycję w Google. Stały skan i kontrola zmian plików skracają ten okres z tygodni do doby. Ocenę kosztu porównasz w tekście o cenie czyszczenia po włamaniu.
Ile kosztuje usunięcie backdoora
Osobnej faktury za tylne wejścia nie wystawiamy. Czyszczenie jest częścią planu, który pilnuje strony także po zakończeniu pracy.
| Plan | Miesięcznie | Rocznie za miesiąc | Dla kogo |
|---|---|---|---|
| Strona | 390 zł netto | 195 zł netto | jedna strona firmowa, skan co 24 godziny |
| Sklep | 990 zł netto | 495 zł netto | sklep WooCommerce albo do 3 stron, skan co godzinę |
| Agencja | 2 490 zł netto | 1 245 zł netto | do 25 stron klientów, skan co godzinę |
Doliczamy 23 procent VAT i wystawiamy fakturę VAT. Szczegóły planów są w cenniku, a opis całej usługi w opiece WordPress. Gdy strona kasuje zamówienia już teraz, wybierz awaryjne odwirusowanie.
Najczęściej zadawane pytania
Backdoor to ukryty plik lub konto, które pozwala atakującemu wrócić na stronę po usunięciu widocznej infekcji. Najczęściej to plik PHP udający wtyczkę, wpis w bazie albo dodatkowy administrator.
W panelu WordPress wejdź w Użytkownicy i filtruj rolę Administrator. Każde konto, którego nie znasz, jest podejrzane. Ukryci administratorzy bywają jednak niewidoczni w panelu, dlatego sprawdzamy też bazę danych.
Nie. Jeśli zostanie choć jedno tylne wejście, infekcja wraca zwykle w ciągu dni. Czyścimy pliki, bazę i konta razem, a potem zamykamy podatną wtyczkę, którą wszedł atak.
Czyszczenie wchodzi w cenę abonamentu od 195 zł netto miesięcznie przy płatności rocznej, bez osobnej faktury za usunięcie tylnych wejść.
Sprawdź, czy na Twojej stronie został backdoor
Wpisz adres strony i zobacz w 30 sekund, czy skaner widzi zmienione pliki i podejrzany kod.