Jak rozpoznać, że strona WordPress została zhakowana, i co zrobić w pierwszej godzinie

Włamanie na stronę WordPress rzadko wygląda jak w filmie. Zwykle nikt nie podmienia strony głównej na czarny ekran z czaszką. Zamiast tego atakujący chcą pozostać niezauważeni jak najdłużej i wykorzystywać Twoją domenę do własnych celów: spamu, przekierowań, pozycjonowania cudzych stron. Dlatego objawy bywają subtelne.

Dziewięć objawów, które powinny zapalić lampkę

1. Przekierowania na obce strony, często tylko z telefonu albo tylko po wejściu z Google. Na komputerze i po wpisaniu adresu wprost strona wygląda normalnie.
2. Ostrzeżenie Googlew wynikach wyszukiwania ("Ta witryna może być niebezpieczna") albo czerwony ekran w Chrome.
3. Obce podstrony w Google: wpisz w wyszukiwarkę site:twojadomena.pl. Jeśli widzisz japońskie znaki, leki, kasyna albo tysiące adresów, których nie tworzyłeś, to spam SEO.
4. Hosting blokuje pocztę lub informuje o masowej wysyłce z Twojego konta.
5. Nowe konta administratorów w panelu WordPress, zmienione hasła, wyłączona wtyczka bezpieczeństwa.
6. Nagłe spowolnienie strony lub komunikaty hostingu o przekroczeniu zasobów procesora.
7. Pliki, których nie znasz, zwłaszcza pliki PHP w katalogu wp-content/uploads, gdzie powinny być tylko obrazy.
8. Zmienione daty modyfikacji plików rdzenia WordPress, których nikt nie aktualizował.
9. Reklamy lub wyskakujące okna, których nie wstawiałeś.

Pierwsza godzina po odkryciu włamania

1. Nie kasuj niczego. Ślady są potrzebne do ustalenia drogi włamania.
2. Zrób kopię obecnego stanu(pliki i baza) do osobnego folderu, z oznaczeniem "zainfekowana".
3. Zmień hasła: administratora WordPress, FTP, panelu hostingu, bazy danych. Z innego, czystego komputera, jeśli to możliwe.
4. Sprawdź listę użytkowników i usuń obce konta administratorów.
5. Zajrzyj do Search Console(zakładka "Bezpieczeństwo i ręczne działania"). Jeśli nie masz Search Console, załóż ją teraz, to najszybszy kanał informacji od Google.
6. Powiadom hosting, zwłaszcza jeśli na koncie są inne strony. Infekcja często przechodzi między nimi.

Czego nie robić

Nie przywracaj kopii sprzed tygodnia jako jedynego działania. Kopia bywa już zainfekowana, a luka, przez którą weszli atakujący, dalej istnieje. Nie instaluj trzech wtyczek bezpieczeństwa naraz, nie dadzą więcej niż jedna dobrze skonfigurowana. I nie ufaj "skanerowi online", który mówi, że wszystko w porządku: skanery widzą tylko to, co strona pokazuje na zewnątrz, a nie backdoor ukryty w plikach.

Właściwe czyszczenie to ręczna analiza plików i bazy, znalezienie luki, utwardzenie instalacji i zgłoszenie strony do ponownej weryfikacji w Google. Tak wygląda usuwanie wirusów z WordPress w naszym wykonaniu. Diagnoza infekcji jest bezpłatna.