Hosting zablokował moją stronę z powodu malware — jak ją odzyskać?

E-mail przychodzi zwykle w nocy albo w piątek po południu: „W związku z wykryciem złośliwego oprogramowania na Państwa koncie dostęp do strony został zawieszony. Prosimy o usunięcie wskazanych plików i kontakt z działem bezpieczeństwa.” Strona nie działa, poczta czasem też, a w załączniku jest lista plików o nazwach, które nic Ci nie mówią. Ten tekst jest o tym, co zrobić w takiej sytuacji — i czego nie robić, bo to przedłuża blokadę.

Dlaczego hosting blokuje, zamiast pomóc

Warto to zrozumieć, bo zmienia sposób rozmowy z hostingiem. Na hostingu współdzielonym Twoja strona leży na jednym serwerze z setkami innych. Zainfekowana strona szkodzi wszystkim: rozsyła spam (a wtedy adres IP serwera trafia na czarne listy i maile wszystkich klientów idą do spamu), obciąża procesor generowaniem tysięcy spamerskich podstron, serwuje phishing (a wtedy do hostingu przychodzą zgłoszenia od banków i CERT-ów). Hosting blokuje więc nie przeciwko Tobie, tylko w obronie reszty. Z tego wynika praktyczna zasada: hosting odblokuje konto, gdy przestanie widzieć zagrożenie — nie wcześniej i nie dlatego, że obiecasz poprawę.

Druga rzecz: hosting zwykle nie czyści strony za Ciebie. Jego skaner znajduje pliki pasujące do znanych sygnatur i to wszystko. Nie ustali drogi włamania, nie przejrzy bazy, nie zamknie luki. Niektóre hostingi oferują płatne czyszczenie — zwykle ograniczone do usunięcia wykrytych plików, bez zamykania luki, więc infekcja często wraca.

Pierwsze pół godziny: trzy rzeczy do zrobienia

1. Przeczytaj e-mail do końca i zapisz wszystko. Lista plików, ścieżki, godzina wykrycia, numer zgłoszenia, forma kontaktu. To punkt wyjścia do diagnozy — ścieżki plików mówią, w którym miejscu strony siedzi infekcja.
2. Nie kasuj plików z listy na ślepo. To najczęstszy odruch i najczęstszy błąd. Po pierwsze, lista hostingu to zwykle część infekcji, nie całość — skaner widzi sygnatury, nie zna Twojej strony. Po drugie, na liście bywają pliki prawdziwe, zainfekowane przez doklejenie kodu (np. functions.php motywu, index.php strony); skasowanie ich zepsuje stronę. Po trzecie, kasując, niszczysz ślady potrzebne do ustalenia, którędy weszli.
3. Zmień hasła do panelu hostingu, FTP/SFTP, bazy i panelu WordPressa — z innego komputera, jeśli masz taką możliwość. Włamanie przez wykradzione hasło FTP to częsta droga.

O co poprosić hosting

Dział bezpieczeństwa hostingu ma więcej informacji, niż wysłał w e-mailu. Poproś konkretnie o:

• pełny raport ze skanu — wszystkie wykryte pliki z sygnaturami, nie tylko „przykładowe”,
• logi dostępu (access log) i logi FTP z ostatnich 30 dni — z nich da się wyczytać, który adres i którą ścieżką wykonał pierwszy złośliwy zapis; to podstawa zamknięcia luki,
• dostęp do plików i bazy przy zablokowanej stronie — większość hostingów zostawia FTP/SFTP i phpMyAdmin otwarte, blokując tylko wyświetlanie strony; jeśli nie, poproś o tymczasowe odblokowanie na czas czyszczenia,
• kopie zapasowe hostingu z kilku dat — żeby porównać, kiedy pliki zaczęły się zmieniać (uwaga: nie przywracaj ich na ślepo, patrz niżej),
• procedurę ponownego skanu — jak i gdzie zgłosić, że strona jest czysta, i ile czasu zajmuje weryfikacja.

Ton rozmowy: rzeczowy, bez pretensji. Osoba po drugiej stronie decyduje, jak szybko zajmie się ponownym skanem.

Czyszczenie: co musi się wydarzyć, żeby hosting odblokował konto

Hosting odblokuje konto, gdy ponowny skan nie znajdzie sygnatur. Ale Tobie zależy na czymś więcej: żeby blokada nie wróciła za dwa tygodnie. Dlatego czyszczenie musi objąć:

• Kopię stanu „po włamaniu” — pobierz pliki i bazę przed jakimikolwiek zmianami.
• Całe konto hostingowe, nie tylko katalog strony. Skaner hostingu widzi całe konto — jeśli złośliwe pliki leżą w starej kopii strony, w subdomenie testowej, w katalogu „backup” sprzed trzech lat, blokada wróci, nawet gdy WordPress będzie czysty. Stare kopie i nieużywane instalacje najlepiej usunąć z serwera w ogóle.
• Podmianę rdzenia, wtyczek i motywu na czyste oryginały w tych samych wersjach, zamiast „czyszczenia” pojedynczych plików.
• Przegląd bazy, plików .htaccess, katalogu uploads, wtyczek must-use, zadań cron, kont użytkowników.
• Zamknięcie luki ustalonej z logów: aktualizacja albo usunięcie podatnego elementu, wymiana wszystkich haseł i kluczy.

Jak to wygląda w praktyce i gdzie najczęściej siedzi kod, opisujemy przy okazji najczęstszych objawów: przekierowań na obce strony i japońskiego spamu w Google. Jeśli wolisz to zlecić: czyszczenie strony po włamaniu obejmuje też rozmowę z hostingiem i doprowadzenie do odblokowania — jedna stała kwota po analizie.

Czy przywrócić kopię zapasową z hostingu?

To kuszące: jeden klik i strona „sprzed infekcji”. Trzy zastrzeżenia:

• Włamanie zwykle wyprzedza wykrycie o tygodnie — kopia sprzed tygodnia bywa już zainfekowana, tylko jeszcze „cicho”.
• Kopia zawiera tę samą lukę. Przywrócona strona zostanie zainfekowana ponownie przez tego samego bota, często w ciągu dni.
• Przywracając, tracisz treści dodane po dacie kopii (wpisy, zamówienia, zgłoszenia z formularzy).

Przywrócenie kopii może być sensownym pierwszym krokiem, jeśli kopia jest na pewno starsza niż włamanie (sprawdź daty w logach) — ale zawsze z natychmiastową aktualizacją, zamknięciem luki i wymianą haseł. Nigdy jako jedyny krok.

Po odblokowaniu: trzy sprawdzenia

1. Google. Sprawdź, czy przy okazji strona nie dostała ostrzeżenia w wynikach („Ta witryna mogła zostać zhakowana”) albo w przeglądarce (czerwony ekran Safe Browsing). Jeśli tak — osobny wniosek w Search Console.
2. Poczta. Jeśli blokada była za spam, sprawdź domenę i adres IP na czarnych listach (np. MXToolbox) i poproś hosting o zgłoszenie zdjęcia wpisów, jeśli IP jest jego.
3. Monitoring. Ustaw powiadomienia o zmianach plików i o logowaniach do panelu. Następnym razem dowiesz się od siebie, a nie od hostingu.

Czy zmienić hosting?

Po takiej sytuacji wiele firm przenosi stronę „na złość”. Zanim to zrobisz: włamanie prawie zawsze wchodzi przez stronę (przestarzała wtyczka, słabe hasło), nie przez serwer. Zmiana hostingu bez wyczyszczenia strony przenosi infekcję w nowe miejsce. Hosting warto zmienić, jeśli nie udostępnił logów, nie ma kopii zapasowych albo blokuje FTP na czas czyszczenia — bo to utrudnia ratowanie strony. Jeśli natomiast to kolejna blokada tej samej strony w krótkim czasie, problem nie leży w hostingu, tylko w fundamencie — piszemy o tym w tekście Czy WordPress jest bezpieczny?.