Usuwanie wirusów
ze stron WordPress
Strona przekierowuje na obcą witrynę, Google ostrzega przed nią albo w wynikach pojawiły się tysiące adresów, których nie tworzyliście. Czyścimy, uszczelniamy i doprowadzamy do porządku to, co zostało po ataku w Google - bo samo usunięcie kodu to dopiero połowa roboty.
Przeszliśmy przez to
na własnej stronie
75 000 śmieciowych adresów w Google
Nasza wcześniejsza strona stała na WordPressie i została zainfekowana. Atak wygenerował dziesiątki tysięcy podstron ze spamem, które Google zaczęło indeksować. Nie chodziło o kilka podejrzanych plików - chodziło o domenę, która w oczach wyszukiwarki zamieniła się w farmę spamu.
Odbudowa polegała na trzech rzeczach naraz: wyczyszczeniu i przeniesieniu strony na technologię bez bazy danych, systematycznym zgłaszaniu śmieciowych adresów do usunięcia i cierpliwym pilnowaniu indeksu w Search Console. To nie była praca na tydzień.
Dane z Search Console ctrlzstudio.pl. Liczba śmieciowych adresów nadal spada.
Piszemy o tym, bo to jest różnica między firmą, która wyczyści Wam pliki, a firmą, która wie, co dzieje się potem - i ile to realnie trwa. Cały przebieg opisaliśmy we wpisie zawirusowana strona WordPress.
Jeśli to dzieje się
właśnie teraz
Pięć rzeczy, zanim się do nas odezwiecie
- Nie kasujcie niczego w panice. Usunięcie plików bez kopii utrudnia znalezienie przyczyny.
- Zróbcie kopię plików i bazy, nawet zainfekowaną. Będzie potrzebna.
- Zmieńcie hasła do panelu, FTP, bazy i hostingu. Wszystkie, nie tylko administratora.
- Sprawdźcie Search Console - zakładka Bezpieczeństwo powie, czy Google już wykryło problem.
- Powiadomcie hosting. Część dostawców blokuje zainfekowane konta, lepiej uprzedzić niż zostać odciętym.
Jeśli strona przyjmuje płatności albo zbiera dane osobowe, wyciek może wymagać zgłoszenia do UODO - w takim wypadku warto od razu skonsultować to z prawnikiem.
Po czym poznać, że strona
jest zainfekowana
Google ostrzega przed stroną
Czerwony ekran „Strona wprowadzająca w błąd" albo komunikat w wynikach wyszukiwania. Najbardziej dotkliwy objaw, bo odcina cały ruch w jednej chwili.
Strona przekierowuje gdzie indziej
Wejście z telefonu albo z wyników Google kończy się na obcej witrynie - kasyno, apteka, oszustwo inwestycyjne. Z komputera i po wpisaniu adresu wprost często wygląda normalnie, dlatego właściciele odkrywają to późno.
W Google są podstrony, których nie tworzyliście
Wpiszcie w wyszukiwarkę site:wasza-domena.pl. Jeśli widzicie tysiące adresów zamiast kilkunastu, macie odpowiedź.
Nieznane konta administratorów
W panelu pojawiają się użytkownicy, których nikt nie zakładał. Czasem z nazwami przypominającymi systemowe.
Strona zwolniła bez powodu
Zainfekowany serwer często wysyła spam albo obsługuje cudzy ruch. Objawem bywa nagły wzrost obciążenia i wiadomość od hostingu.
Poczta trafia do spamu
Jeśli z Waszego serwera rozsyłany jest spam, domena ląduje na czarnych listach. Wtedy przestają docierać także zwykłe maile do klientów.
Nie macie pewności? Rozpisaliśmy to szczegółowo we wpisie jak sprawdzić, czy strona jest zainfekowana, albo zamówcie bezpłatny audyt - część takich rzeczy wykrywamy automatycznie.
Z czym najczęściej
do nas przychodzicie
Infekcja WordPressa rzadko wygląda jak w filmach. Zwykle objawia się jedną z poniższych rzeczy - i prawie zawsze da się po niej rozpoznać, którędy ktoś wszedł. Jeśli rozpoznajecie swój przypadek, opiszcie go w wiadomości: przyspieszy to diagnozę.
Strona przekierowuje na reklamy
Wpisujecie swój adres, a przeglądarka wyrzuca na stronę z kasynem, lekami albo „wygraną nagrodą”. Najczęściej przekierowanie odpala się tylko z wyników Google i tylko na telefonie - na komputerze, po wpisaniu adresu z palca, wszystko wygląda normalnie. Dlatego problem potrafi chodzić tygodniami, zanim ktokolwiek go zauważy.
Obce podstrony w wynikach wyszukiwania
W Google pojawiają się adresy z Waszej domeny prowadzące do stron po japońsku, chińsku albo do aptek i hazardu. To tak zwany japanese keyword hack - atakujący dopisuje tysiące podstron, żeby żerować na zaufaniu, jakie domena ma w wyszukiwarce. Usunięcie samych plików nie wystarcza; trzeba jeszcze posprzątać indeks.
Hosting zablokował stronę
Zamiast witryny widać komunikat o zawieszeniu konta. Zwykle znaczy to, że serwer rozsyłał spam albo brał udział w ataku na inne strony. Odblokowanie wymaga nie tylko wyczyszczenia plików, ale też raportu dla hostingu - co było przyczyną i co zrobiliście, żeby się nie powtórzyło.
Poczta z firmowej domeny trafia do spamu
Wiadomości do klientów przestają docierać, bo domena wylądowała na czarnych listach po tym, jak z serwera poszła masowa wysyłka. Sama strona może już być czysta, a problem zostaje - trzeba wyprostować SPF, DKIM i DMARC oraz wypisać domenę z list.
Biała strona albo błąd po wejściu do panelu
Po zalogowaniu widać pustkę, błąd 500 albo przekierowanie na stronę logowania w kółko. Często to efekt uszkodzonego pliku, który atakujący podmienił, albo konfliktu z wtyczką doklejoną przez intruza. Dane zwykle są całe - trzeba się tylko dostać do nich inną drogą.
Wtyczka z nieoficjalnego źródła
Darmowa wersja płatnej wtyczki, pobrana spoza repozytorium WordPressa, bardzo często ma dopisany obcy kod. Działa poprawnie i robi dokładnie to, co obiecuje - a przy okazji otwiera furtkę. To jedna z najczęstszych dróg wejścia, jakie spotykamy.
Nie znaleźliście swojego objawu? Odwirusowanie strony zaczynamy i tak od tego samego - od ustalenia punktu wejścia, bo bez tego infekcja wraca po kilku dniach.
Jak wygląda odwirusowanie
Zabezpieczenie i kopia
Zanim cokolwiek usuniemy, robimy pełną kopię plików i bazy. Nawet zainfekowana strona jest materiałem dowodowym i punktem wyjścia do odtworzenia treści.
Znalezienie punktu wejścia
Samo usunięcie złośliwego kodu nic nie daje, jeśli dziura zostaje. Szukamy przyczyny: nieaktualna wtyczka, słabe hasło, wykradzione dane FTP, luka w motywie.
Czyszczenie
Usuwamy złośliwy kod z plików i bazy danych, kasujemy podrzucone konta administratorów, sprawdzamy zaplanowane zadania i pliki konfiguracyjne. Rdzeń WordPressa wymieniamy na czysty.
Uszczelnienie
Aktualizacje, wymiana wszystkich haseł i kluczy bezpieczeństwa, ukrycie wersji, zablokowanie publicznej listy użytkowników, nagłówki ochronne, dwuskładnikowe logowanie do panelu.
Sprzątanie po stronie Google
Zgłoszenie do ponownego sprawdzenia w Search Console, usunięcie śmieciowych adresów z indeksu, kontrola przekierowań. To najdłuższy etap i najczęściej pomijany przez firmy, które „czyszczą stronę".
Monitoring
Przez kolejne tygodnie obserwujemy, czy infekcja nie wraca, i pilnujemy, jak wygląda indeks w Google.
Najczęstsze pytania
Napiszcie dziś
Przy infekcji liczy się czas - im dłużej strona rozsyła spam, tym więcej zostaje do posprzątania w Google. Podajcie adres strony i opiszcie, co się dzieje. Odpowiadamy tego samego dnia roboczego.
Zobacz też: wsparcie techniczne · bezpłatny audyt · ile trwa odzyskanie pozycji · strona bez WordPressa