Зламали сайт: що робити і як очистити від вірусів

Якщо ваш сайт зламали, головне не панікувати і діяти по черзі: спершу закрити доступ, потім знайти й вичистити код, і обовʼязково закрити діру, через яку зайшли. Найчастіше шкідливий код лежить у базі, а не у файлах, тому антивірус хостингу мовчить. Нижче: як розпізнати злом, що зробити в першу годину і як не дати зараженню повернутися.

Як зрозуміти, що сайт справді зламали

Іноді злом видно одразу: замість головної чужий напис або редирект. Але частіше він тихий і працює тижнями, а ви дізнаєтеся останнім. Ознаки, за якими зараження себе видає:

• Сайт перекидає відвідувачів на сторонні сторінки (казино, аптеки), особливо з телефону або з пошуку.
• У пошуку під вашим сайтом зʼявилися чужі сторінки або ієрогліфи, а Google пише «цей сайт може бути зламано».
• В адмінці завелися користувачі з правами адміністратора, яких ви не створювали.
• Хостинг надіслав лист про шкідливий код або незвичне навантаження, іноді з блокуванням акаунта.
• Файли змінилися без вашої участі, зʼявилися невідомі .php-файли.

Перевірте сайт прямо зараз

Інструмент відкриє ваш сайт ззовні так, як його бачать різні відвідувачі: з компʼютера, з телефону та очима пошукового робота. Дефейс, мобільний редирект, клоакінг і застарілу версію CMS буде видно одразу. Доступ до сайту не потрібен.

Перша година: що зробити одразу

1. Зробіть копію поточного стану, навіть зараженого: знадобиться, якщо щось піде не так.
2. Змініть усі паролі: адмінка, FTP і SSH, база даних, панель хостингу.
3. Перевірте список адміністраторів і видаліть тих, кого ви не створювали.
4. Не поспішайте одразу видаляти файли: спочатку зрозумійте, що і де заражено.
5. Якщо сайт розсилає спам або атакує інших, тимчасово закрийте його заглушкою, поки чистите.

Як вичистити сайт правильно

Порядок, який реально прибирає зараження, а не лише його сліди:

• Перевірте .htaccess у корені та підпапках: редиректи й правила під робота.
• Перевірте index.php і файли активного шаблона чи теми: інʼєкція зазвичай у перших рядках.
• Перевірте базу: у WordPress це wp_options і wp_posts, у Joomla параметри шаблона в таблиці #__template_styles.
• Знайдіть і видаліть веб-шели: невідомі .php-файли, часто в папці uploads чи media.
• Перевірте завдання cron: вони відновлюють код після видалення.
• Оновіть CMS і всі розширення.

Чому антивірус хостингу мовчить

Дуже часто власник бачить від хостингу «все чисто» і заспокоюється, поки сайт продовжує шкодити. Причина проста: антивірус хостингу перевіряє файли за відомими сигнатурами, а шкідливий код нерідко лежить у базі даних (параметри шаблона, приховані записи) або в правилах .htaccess. Файли при цьому чисті, сканер чесно це й показує. Тиша сканера не доводить, що сайт у порядку.

Як закрити діру, щоб не повторилося

Найгірша помилка, прибрати симптом і не закрити вхід. Тоді сайт ламають знову тим самим способом протягом дня. Щоб цього не сталося:

• Знайдіть точку входу: через яке розширення чи вразливість зайшли (логи сервера це показують).
• Оновіть CMS і розширення до підтримуваних версій, видаліть невикористовувані.
• Перевірте, що не лишилося бекдорів і завдань cron, які відновлюють код.
• Увімкніть базовий захист: обмеження доступу до адмінки, актуальні бекапи.

Якщо сайт на Joomla або WordPress

Joomla. Особливо вразлива Joomla 3: вона не отримує оновлень безпеки з 17 серпня 2023 року. Заходять через вразливості розширень (JCE, SP Page Builder) або шаблонного фреймворка Helix3. Без переходу на підтримувану версію 5 або 6 сайт заражають знову.

WordPress. Дивіться таблиці wp_posts і wp_options, файл functions.php активної теми та папку uploads: у ній не має бути .php-файлів. Найчастіше заходять через занедбаний або вразливий плагін.

Коли кликати фахівця

Має сенс не гаяти час самому, якщо:

• ви вже чистили, а зараження повернулося;
• код у базі, а не у файлах, і антивірус хостингу мовчить;
• хостинг заблокував акаунт за шкідливе ПЗ;
• у пошуку зʼявилися чужі сторінки або позначка «цей сайт може бути зламано»;
• робочої резервної копії немає.