Лечение вирусов сайта в Ижевске: технология работы
В этой статье
В Ижевске много промышленных предприятий, инженерных компаний и медицинских центров, у которых сайт годами живёт без изменений: каталог сдан, контакты указаны, трогать нечего. Именно такие ресурсы заражаются чаще всего – движок остаётся на версии пятилетней давности, а уязвимости в ней публично описаны. Ниже – как именно проходит лечение и почему каждый шаг обязателен.
Диагностика: что и где искать
Начинаем не с чистки, а с замеров. Проверяются: реакция сайта на разные типы посетителей, содержимое исходного кода страниц, список файлов с недавней датой изменения, исходящая почта, отчёты о безопасности в панелях вебмастера, репутация домена в публичных базах. На выходе получается перечень заражённых объектов, а не общая фраза «сайт заражён».
Архив до вмешательства
Полная копия файлов и базы снимается первым делом. Она нужна как исходный материал: по датам определяется период взлома, по сигнатурам вредоноса ищутся его копии, а при неудачной правке из архива достаётся оригинальный файл. Хранится копия вне хостинга, на котором находится заражённый сайт.
Точка входа: обязательный этап
Логи веб-сервера, FTP и панели администратора анализируются за период до появления первых заражённых файлов. Задача – назвать конкретную причину. Для промышленных сайтов Удмуртии это обычно уязвимость в форме обратной связи или в модуле выгрузки прайса, реже – утечка пароля с рабочего компьютера. Диагноз определяет, что делать на последнем этапе.
Проверка ядра CMS по контрольным суммам
Файлы движка сравниваются с официальным дистрибутивом соответствующей версии. Список расхождений разбирается вручную, потому что часть правок легальна. Так находят дописанные в конец системных файлов строки и подменённые точки входа. Дополнительно проверяются каталоги загрузок и папки кеша, где любят прятать исполняемые скрипты.
Чужой код внутри базы
Инъекции в базе – причина, по которой сайт «лечится» и через день заражается снова. Ищем и удаляем:
- вредоносные скрипты в текстах страниц и статей;
- переадресацию, вписанную в настройки шаблона;
- лишних администраторов и изменённые права ролей;
- подмену контактов, счётчиков и внешних подключений.
После правок база проверяется повторно на остаточные совпадения.
Веб-шеллы: почему их всегда несколько
Взломщик рассчитывает на возврат. Копии загрузчика раскладываются по разным каталогам с безобидными именами, добавляется задание планировщика, иногда правится конфигурация сервера. Удалить один файл и считать сайт вылеченным – самая частая ошибка. Проверяются cron, права на запись, служебные конфигурации и соседние сайты на том же аккаунте.
Ротация доступов, закрытие дыры и контрольная проверка
Меняется всё: пароль панели хостинга, FTP, SSH, пользователь базы данных, административная часть, почтовый ящик восстановления, ключи интеграций. Удаляются учётные записи прошлых подрядчиков. Если ротацию пропустить, взломщик просто войдёт заново с известным паролем, и предыдущая работа обнулится.
Обновляются движок и расширения, отключается неиспользуемый функционал, ужесточаются права на файлы, при необходимости включается фильтрация запросов. Без этого лечение не имеет смысла. Через несколько дней проводится повторное сканирование, проверяется индекс и поведение страниц для робота. При наложенных санкциях отправляется заявка на пересмотр в Яндекс.Вебмастер и Search Console. Дальше сайт лучше держать на поддержке с плановыми обновлениями, а восстановление позиций отдать специалистам по продвижению.
Отвечаем на частые вопросы
- Почему заражают сайт завода, где нет платежей? Ресурс нужен как площадка для спама и чужих ссылок, содержимое взломщика не интересует.
- Достаточно ли антивируса на хостинге? Нет: он видит известные файлы и не работает с базой и причиной взлома.
- Сколько ждать результата? Диагностика – несколько часов, полное лечение – один-три дня, снятие метки поисковика – до трёх суток после заявки.
Звоните +7 (901) 417-22-12: проверим сайт, покажем найденное и назовём срок работ.
