Безопасность
Удаляю вредоносный код, нахожу, как злоумышленник попал на сайт, закрываю дыру и помогаю снять предупреждения в поисковиках и браузерах.
- Поиск вредоносного кода
- Чистка файлов и базы
- Поиск точки входа
- Обновление уязвимого ПО
- Смена паролей и ключей
- Защита админки
- Проверка почтовой рассылки
- Снятие пометки Яндекса
- Снятие пометки Google
Признаки заражения
- Посетителей с телефона перебрасывает на казино, знакомства или «вы выиграли iPhone».
- В поиске появились страницы, которых вы не создавали, часто на японском или с аптекой.
- Браузер показывает красное предупреждение, Яндекс пишет «Сайт может угрожать безопасности вашего компьютера».
- Хостинг заблокировал сайт за рассылку спама или повышенную нагрузку.
- В админке появились неизвестные пользователи-администраторы.
- В корне сайта лежат файлы с непонятными именами, а в index.php сверху — длинная строка с eval и base64.
Подробнее о признаках и первых шагах — в статье «Вирус на сайте».
Как я лечу сайт
- Делаю полную копию заражённого сайта и логов — они нужны, чтобы найти точку входа.
- Сравниваю файлы ядра CMS с оригинальными той же версии: всё, что отличается, проверяю вручную.
- Ищу внедрения в теме, модулях, uploads, базе данных (опции, виджеты, тексты записей), .htaccess и cron.
- По логам доступа нахожу, через что зашли: уязвимый плагин, украденный пароль FTP, старая версия CMS.
- Удаляю вредоносный код, обновляю или заменяю уязвимые компоненты.
- Меняю пароли администраторов, FTP, базы, ключи и соли в конфигурации.
- Закрываю выполнение PHP в папке загрузок, ограничиваю вход в админку.
- Подаю запросы на перепроверку в Яндекс Вебмастер и Google Search Console.
Почему просто восстановить копию мало
Если восстановить сайт из резервной копии и не закрыть уязвимость, заражение возвращается через несколько дней — бот снова пройдёт по той же дыре. Кроме того, вредоносный код часто лежит на сайте неделями до того, как проявится, и копии за последний месяц тоже заражены.
Сроки
Обычно 1–2 дня. Пометка Яндекса снимается после перепроверки, это от нескольких дней до пары недель — на скорость перепроверки я не влияю.
Стоимость
Зависит от размера сайта и глубины заражения. Называю после первичного осмотра.
Что дальше
После лечения рекомендую техподдержку хотя бы на пару месяцев: регулярные обновления и контроль изменений файлов — лучшая защита от повторного взлома.
Что можно сделать самому до моего подключения
- Не удаляйте файлы наугад и не восстанавливайте старую копию поверх — это стирает следы, по которым ищется точка входа.
- Смените пароль хостинга и почты, на которую он зарегистрирован.
- Проверьте список администраторов в админке и удалите незнакомых.
- Если сайт рассылает спам, попросите хостинг временно ограничить отправку почты.
После этого напишите мне — дальше по шагам, описанным выше.
Пример порядка работ по WordPress
- Сохраняю копию заражённого сайта и логов для разбора.
- Заменяю ядро WordPress чистой версией той же редакции.
- Удаляю и переустанавливаю плагины и тему из официальных источников.
- Проверяю вручную дочернюю тему, mu-plugins, uploads, .htaccess, wp-config.php.
- Ищу внедрения в базе: записи, виджеты, опции, пользователи-администраторы.
- По логам нахожу точку входа и закрываю её.
- Меняю пароли и ключи, настраиваю защиту и копии.
- Подаю запрос на перепроверку в поисковые системы.
Чек-лист: признаки, что сайт пора проверять
- Посетители жалуются на редирект на чужие сайты, особенно с телефонов.
- В поиске появились страницы, которых у вас нет: казино, лекарства, кредиты.
- Хостинг прислал уведомление о вредоносных файлах или спаме.
- Браузер или антивирус показывает предупреждение.
- В админке появились незнакомые пользователи.
Частые вопросы
Можно удалить вирус антивирусным плагином?
Плагин находит известные сигнатуры, но пропускает обфусцированный код и внедрения в базе. Его можно использовать как дополнительную проверку, но не вместо ручного разбора.
Хостинг заблокировал сайт. Что делать?
Попросите у хостинга список заражённых файлов и временный доступ для лечения. Я работаю по нему и сообщаю хостингу о результатах.
Утекли ли данные клиентов?
По логам можно понять, обращался ли злоумышленник к базе. Если да, нужно сменить пароли пользователей и оценить, кого уведомить.
Сколько времени занимает лечение?
Обычно от нескольких часов до одного-двух дней, в зависимости от размера сайта и глубины заражения.
Даёте ли вы гарантию, что сайт не взломают снова?
Абсолютной гарантии не даёт никто. Я закрываю найденную точку входа и настраиваю защиту, а регулярные обновления и копии в рамках поддержки сильно снижают риск.
Обсудим вашу задачу
Напишите в Telegram или Viber: адрес сайта, если он есть, и что нужно сделать. Отвечу, сколько это займёт и сколько будет стоить. Или оставьте заявку в форме ниже — перезвоню.
Есть задача по сайту?
Заказать звонок
Есть вопрос? Напишите, отвечу в течение рабочего дня.