Czyszczenie strony po włamaniu — albo koniec z włamaniami

Czyszczenie istniejącej strony (WordPress, Joomla, PrestaShop, strona bez CMS-a) wyceniamy jedną stałą kwotą po krótkiej analizie — potrzebujemy dostępu do plików i panelu, żeby ocenić zasięg infekcji. Kwota nie rośnie w trakcie, nawet jeśli infekcja okaże się głębsza. Alternatywa: nowa strona firmowa na naszym CMS za 1 499 zł netto (przeniesienie treści wyceniane osobno).

Dla typowej strony firmowej (kilka–kilkanaście podstron, blog, formularz) polecamy nową stronę na naszym CMS: usuwa przyczynę (obce wtyczki), nie tylko skutki, i kosztuje podobnie jak porządne czyszczenie z zabezpieczeniem. Czyszczenie ma sens przy dużym serwisie, sklepie na WooCommerce z integracjami albo stronie, którą ktoś realnie utrzymuje. Po analizie mówimy wprost, która droga się opłaca.

Nie. 1 499 zł netto to postawienie prostej strony firmowej: 5 zakładek z treścią napisaną przez nas, hosting, domena i SSL na pierwszy rok. Przeniesienie treści ze starej strony — wpisów, zdjęć, dokumentów, wraz z przekierowaniami 301 — to osobna pozycja, wyceniana stałą kwotą po analizie, zależnie od liczby podstron i wpisów.

W skrócie: kopia stanu „po włamaniu” → ustalenie drogi ataku z logów i dat plików → podmiana rdzenia, wtyczek i motywu na czyste oryginały → przegląd bazy, plików .htaccess, katalogu uploads, wtyczek must-use, zadań cron i kont → zamknięcie luki i wymiana haseł → wnioski do Google i hostingu → zabezpieczenie. Usunięcie samych „zainfekowanych plików” z listy skanera to nie usunięcie wirusa — to usunięcie części objawów.

Tak samo, z dokładnością do systemu: Joomla, PrestaShop, Drupal, strona pisana ręcznie — zasada „kopia, diagnoza, czyste oryginały, baza, luka, hasła, odblokowanie” jest ta sama. Czyścimy również strony bez CMS-a i konta hostingowe, na których malware leży w starych kopiach stron i podkatalogach.

Siedem testów bez programisty: wyszukiwanie site:twojadomena.pl w Google, test na żywo w Search Console (strona oczami Google), wejście z telefonu przez wynik wyszukiwania w trybie incognito, raport Safe Browsing, przegląd kont i wtyczek w panelu, kod źródłowy (Ctrl+U), czarne listy pocztowe. Opis krok po kroku: Jak sprawdzić, czy strona WordPress jest zhakowana — 7 testów.

Jeśli strona przekierowuje odwiedzających na niebezpieczne treści albo rozsyła spam — tak, włącz tryb konserwacji lub poproś hosting o tymczasowe wyłączenie. Nie kasuj jednak plików ani bazy: ślady są potrzebne, żeby ustalić, którędy weszli. Bez tego czyścimy na ślepo, a infekcja wraca.

Rzadko. Kopia sprzed włamania zawiera tę samą lukę, przez którą atak wszedł, a włamanie zwykle wyprzedza objawy o tygodnie — kopia bywa już zainfekowana. Przywrócenie kopii to co najwyżej pierwszy krok, po którym i tak trzeba zamknąć lukę i wymienić hasła.

Samo czyszczenie typowej strony firmowej to zwykle jeden–dwa dni robocze. Dłużej trwa zdejmowanie ostrzeżeń: Google rozpatruje wniosek o ponowne sprawdzenie w swoim tempie, zwykle od kilku dni do dwóch tygodni. Nowa strona na naszym CMS jest online w 24 h od kompletu materiałów; przeniesienie treści — termin razem z wyceną.

Skaner we wtyczce znajduje znane sygnatury, ale nie ustali drogi ataku, nie wymieni kluczy, nie porówna plików z oryginałami i nie zajrzy do zadań cron ani logów serwera. A włamywacz z dostępem do strony ma też dostęp do wtyczki. Widzieliśmy strony „wyczyszczone” wtyczką pięć razy w jednym kwartale. Narzędzia pomagają, pracę robi człowiek.

Wyczyścić stronę w całości (nie tylko przykładowe adresy z Search Console), doprowadzić spamerskie adresy do kodu 404/410, zgłosić usunięcie ich prefiksu z indeksu i złożyć wniosek o ponowne sprawdzenie w Search Console (Bezpieczeństwo i ręczne działania → Problemy dotyczące bezpieczeństwa). Szczegóły i czas oczekiwania: „Ta witryna mogła zostać zhakowana” — co oznacza.

Czerwony ekran pochodzi z listy Google Safe Browsing, z której korzystają Chrome, Firefox, Safari i Gmail — nie da się go „odblokować w przeglądarce”. Trzeba wyczyścić cały serwer (także podkatalogi i stare kopie, gdzie często leży phishing), a potem złożyć wniosek o ponowne sprawdzenie w Search Console. Krok po kroku: Czerwony ekran — co robić.

Nie kasować plików z listy hostingu na ślepo, pobrać kopię plików i bazy, zmienić hasła, poprosić hosting o pełny raport ze skanu, logi i dostęp FTP na czas czyszczenia, wyczyścić całe konto (nie tylko katalog strony), zgłosić do ponownego skanu. Bierzemy tę rozmowę na siebie. Więcej: Hosting zablokował moją stronę.

To cloaking: złośliwy kod rozpoznaje, kto wchodzi (robot Google, telefon, wejście z wyszukiwarki, zalogowany administrator, adres IP), i każdemu pokazuje co innego — właścicielowi zawsze czystą stronę. Jak zobaczyć stronę oczami Google: Co to jest cloaking.

Po czyszczeniu: po usunięciu spamu z indeksu i zdjęciu ostrzeżeń — w większości przypadków tak, choć nie z dnia na dzień; im krócej strona była zainfekowana, tym mniejsze straty. Po przeniesieniu na nowy CMS: przekierowania 301 ze starych adresów przenoszą moc linków, a szybsza strona z pełnym SEO zwykle zyskuje w kolejnych tygodniach.

Może — jeśli zostanie otwarta luka, obce konto, tylne drzwi w zadaniu cron albo jeśli nikt nie będzie aktualizował wtyczek. Dlatego czyścimy razem z luką i oddajemy raport z listą rzeczy do utrzymywania. Pewności nie da nikt uczciwy; realnie najniższe ryzyko daje strona bez obcych wtyczek, którą utrzymuje jeden wykonawca.

Oprogramowania „niehakowalnego” nie ma i nie ufaj nikomu, kto tak twierdzi. Nasz CMS ma mniejszą powierzchnię ataku (brak obcych wtyczek), nie ma pół miliona identycznych instalacji, które automaty atakują jedną luką, aktualizacje bezpieczeństwa instalujesz jednym kliknięciem, a za ich dostarczanie odpowiadamy my. To obniża ryzyko, nie zeruje go.

Treść wydobywamy z kopii bez uruchamiania zainfekowanego kodu, więc nowej strony stara infekcja nie dotyczy. Starą instalację po uruchomieniu nowej strony usuwamy z serwera (zostawiona „na wszelki wypadek” dalej rozsyła spam i ściąga ostrzeżenia). Jeśli chcesz zachować starą stronę równolegle, trzeba ją wyczyścić — to osobna pozycja.

Jeśli potrafisz czytać logi serwera, porównać pliki z oryginałami, przejrzeć bazę i znaleźć tylne drzwi w cronie — tak. Na blogu opisujemy, gdzie szukać: sześć miejsc, w których siedzi kod przekierowujący, japoński spam krok po kroku. Jeśli nie — zlecenie wychodzi taniej niż trzecie czyszczenie tej samej strony.