Zainfekowana strona rzadko wygląda na zainfekowaną. W większości przypadków, jakie widzieliśmy, działała normalnie, ładowała się normalnie i w panelu nie było niczego podejrzanego.
Atakującemu nie zależy, żebyście zauważyli. Zależy mu, żeby jak najdłużej korzystać z Waszego serwera i Waszej domeny. Poniżej osiem sygnałów, które da się sprawdzić w kwadrans, bez wiedzy technicznej.
01. Sprawdźcie, co Google ma w indeksie
Najszybszy test, jaki istnieje. Wpiszcie w wyszukiwarkę:
site:wasza-domena.pl
Porównajcie liczbę wyników z liczbą podstron, które faktycznie macie. Jeśli macie piętnaście podstron, a Google pokazuje tysiące — to jest odpowiedź i nie trzeba szukać dalej.
Przewińcie też wyniki i poszukajcie tytułów, których nie tworzyliście: obcojęzycznych, o lekach, kasynach, kredytach czy podróbkach.
02. Zajrzyjcie do Search Console
Zakładka Bezpieczeństwo i działania ręczne. Jeśli Google wykryło problem, znajdziecie tam konkretny komunikat — złośliwe oprogramowanie, inżynieria społeczna albo zhakowana zawartość.
Warto też sprawdzić zakładkę Indeksowanie stron. Nagły skok liczby wykrytych adresów bez żadnej zmiany po Waszej stronie to poważny sygnał.
03. Otwórzcie stronę z telefonu, z wyników Google
To jest ważny szczegół: nie wpisujcie adresu ręcznie. Wejdźcie przez wyszukiwarkę i koniecznie z telefonu.
Wiele infekcji jest sprytnych — przekierowują wyłącznie ruch z wyszukiwarek i wyłącznie na urządzeniach mobilnych, a użytkownikowi wpisującemu adres wprost pokazują normalną stronę. Właśnie dlatego właściciele odkrywają problem tak późno.
Zrób to samo w trybie prywatnym. Część infekcji nie pokazuje się osobom zalogowanym do panelu — a Wy jesteście zalogowani niemal zawsze.
04. Sprawdźcie listę użytkowników
W panelu WordPressa, zakładka Użytkownicy. Szukacie kont, których nikt nie zakładał — często z nazwami przypominającymi systemowe albo z losowymi ciągami znaków.
Sprawdźcie też, czy któreś z Waszych kont nie zmieniło roli ani adresu e-mail.
05. Sprawdźcie, czy strona nie ujawnia za dużo
Dwie informacje ułatwiają automatyczne ataki i regularnie znajdujemy je w audytach:
- Publiczna lista kont administratorów. W wielu instalacjach WordPressa da się ją pobrać bez logowania. Znajomość loginu to połowa danych potrzebnych do przejęcia konta.
- Dokładna wersja WordPressa w kodzie strony. Przy nieaktualnej instalacji to gotowa instrukcja, których znanych podatności spróbować.
To nie są objawy infekcji, tylko otwarte drzwi. Warto zamknąć je zanim ktoś z nich skorzysta.
06. Zobaczcie, czy nie rozsyłacie spamu
Objawy pośrednie: maile do klientów zaczynają lądować w spamie, dostajecie odbicia wiadomości, których nie wysyłaliście, albo hosting przysyła ostrzeżenie o nietypowej aktywności.
Zainfekowany serwer bardzo często służy do rozsyłania spamu. Skutek jest podwójny — domena trafia na czarne listy, a Wasza normalna poczta przestaje docierać.
07. Sprawdźcie datę modyfikacji plików
To wymaga zajrzenia na serwer przez FTP albo menedżer plików w panelu hostingu. Posortujcie pliki według daty modyfikacji.
Pliki zmienione w dniu, w którym nikt nic nie robił, to najczystszy sygnał, jaki istnieje. Szczególnie warto spojrzeć na pliki w głównym katalogu i w folderze z motywem.
08. Przepuśćcie stronę przez skaner
Darmowe narzędzia — na przykład Google Safe Browsing albo publiczne skanery witryn — sprawdzą, czy strona nie jest już zgłoszona jako niebezpieczna.
Uwaga na ograniczenie: skanery zewnętrzne widzą tylko to, co publiczne. Infekcja ukryta w bazie danych albo aktywna wyłącznie dla ruchu z wyszukiwarek często przechodzi taki test bez alarmu. Negatywny wynik nie jest dowodem, że wszystko jest w porządku.
Co zrobić, jeśli coś się potwierdziło
Nie kasujcie niczego w panice
Usunięcie plików bez kopii utrudnia znalezienie przyczyny — a bez tego infekcja wraca w kilka dni.
Zróbcie kopię, nawet zainfekowaną
Pliki i baza. Będą potrzebne do analizy i do odtworzenia treści.
Zmieńcie wszystkie hasła
Panel, FTP, baza danych, hosting, poczta. Wszystkie, nie tylko konto administratora.
Powiadomcie hosting
Część dostawców blokuje zainfekowane konta. Lepiej uprzedzić, niż zostać odciętym w środku dnia.
Jeśli strona przetwarza dane osobowe albo płatności, wyciek może wymagać zgłoszenia do UODO — wtedy warto od razu skonsultować sytuację z prawnikiem.
Ile czasu macie
Mniej, niż się wydaje, i to jest jedyna rzecz, którą chcemy tu podkreślić.
Każdy dzień działania infekcji to kolejne śmieciowe adresy w indeksie Google. My przy własnej stronie doszliśmy do siedemdziesięciu pięciu tysięcy — i sprzątamy to od miesięcy. Gdyby problem został wykryty tydzień wcześniej, skala byłaby nieporównywalnie mniejsza.
Cały przebieg tamtej sytuacji opisaliśmy we wpisie zawirusowana strona WordPress, a to, jak wygląda usunięcie infekcji — na stronie usuwanie wirusów WordPress.
Wolicie, żeby ktoś to sprawdził za Was?
W bezpłatnym audycie weryfikujemy między innymi, czy strona nie ujawnia kont administratorów i wersji systemu oraz co Google faktycznie ma w indeksie. Raport w 48 godzin.
Zamów bezpłatny audyt →