В представлении многих взломанный сайт — это главная страница с чужим лозунгом. На деле такие «вывески» почти не встречаются: злоумышленникам выгоднее, чтобы владелец как можно дольше ничего не замечал. Заражённый сайт продолжает работать, а параллельно перенаправляет часть посетителей на мошеннические страницы, размещает тысячи спамных страниц для поисковиков или рассылает письма с вашего сервера. Чем раньше вы заметите проблему, тем дешевле обойдётся лечение и тем меньше пострадает репутация сайта. Разберём признаки, на которые стоит обращать внимание.
Признаки, которые видят посетители
Часто первыми о взломе узнают не владельцы, а клиенты. Обращайте внимание на жалобы такого рода:
- Перенаправления на чужие сайты — казино, сомнительные магазины, «выигрыши». Коварство в том, что они часто срабатывают выборочно: только на мобильных, только при переходе из поиска, только один раз для каждого посетителя. Владелец, заходящий на сайт напрямую из закладки, ничего не видит.
- Всплывающие окна и реклама, которых вы не размещали.
- Предупреждение браузера об опасном сайте при открытии — красная страница с рекомендацией не заходить.
- Запросы на скачивание файлов или «обновление браузера» при открытии страниц.
- Странный текст или ссылки в подвале и в конце статей, иногда скрытые от глаз и видимые только в исходном коде.
Если клиент говорит, что «ваш сайт открыл какую-то рекламу», не списывайте это на вирус на его компьютере. Проверьте сайт с мобильного телефона через мобильный интернет, перейдя по ссылке из поисковой выдачи, — так вы воспроизведёте условия, в которых срабатывают выборочные редиректы.
Признаки в поисковых системах
Поисковики нередко замечают заражение раньше владельца. Насторожиться стоит, если:
- в выдаче по запросу с адресом вашего сайта появились страницы на чужие темы — лекарства, займы, реплики брендов, — часто на иностранных языках;
- у сниппетов сайта в поиске появилась пометка об опасности или о том, что сайт может быть взломан;
- в панели вебмастера пришло уведомление о проблемах безопасности или о вредоносном коде;
- количество проиндексированных страниц резко выросло без вашего участия;
- трафик из поиска внезапно упал, а позиции по основным запросам просели.
Именно поэтому мы советуем подключать к каждому сайту панели вебмастеров и включать в них уведомления на почту: это бесплатная система раннего оповещения.
Признаки в админке и на сервере
Более технические симптомы владелец может проверить сам или поручить администратору.
| Где смотреть | Что настораживает |
|---|---|
| Список пользователей | Незнакомые учётные записи с правами администратора, особенно с безликими именами |
| Плагины | Неизвестные плагины, иногда скрытые из списка, но присутствующие в папке на сервере |
| Файлы сайта | Недавно изменённые файлы ядра, PHP-файлы в папке загрузок, файлы со странными именами в корне |
| Нагрузка на хостинг | Резкий рост потребления процессора и трафика без роста посещаемости |
| Почта | Отказы в доставке, сообщения хостинга о массовой рассылке, попадание домена в чёрные списки |
| Планировщик задач | Незнакомые задания по расписанию на сервере |
Отдельный тревожный сигнал — письмо от хостинга о блокировке аккаунта или вредоносном содержимом. Хостинги регулярно сканируют серверы и при обнаружении заражения ограничивают работу сайта, чтобы он не вредил другим.
Почему вирус может быть незаметен
Современный вредоносный код устроен так, чтобы прятаться. Типичные приёмы:
- не показывать вредоносное поведение авторизованным администраторам;
- срабатывать только для определённых браузеров, устройств или источников перехода;
- шифровать собственный код, чтобы его не находили простым поиском по файлам;
- прятаться в базе данных, а не в файлах — в настройках, виджетах, содержимом записей;
- оставлять «запасные двери» — скрипты, которые позволяют вернуть заражение после чистки.
Поэтому отсутствие видимых проблем при беглом осмотре ничего не гарантирует. Если хотя бы один из признаков выше подтвердился, нужна полноценная проверка.
Как проверить сайт самостоятельно
Предварительную диагностику можно провести без глубоких технических знаний:
- Откройте сайт в режиме инкогнито на компьютере и на телефоне через мобильный интернет, переходя на него из поисковой выдачи.
- Проверьте сайт онлайн-сканером репутации и вредоносного кода — они проверяют, есть ли домен в базах опасных сайтов.
- Посмотрите в панели вебмастера разделы безопасности и проиндексированных страниц.
- Изучите список пользователей и плагинов в админке.
- Запустите плагин-сканер безопасности, который сравнивает файлы ядра с оригиналами и ищет известные сигнатуры.
Учтите ограничение: если сайт заражён, плагин-сканер работает внутри того же скомпрометированного окружения и может быть обманут. Его результаты — повод насторожиться, но не гарантия чистоты.
Совет от студии: если вы подозреваете взлом, первым делом смените пароли — от админки, хостинга, FTP, базы данных и почты, причём с заведомо чистого компьютера. Затем сделайте копию сайта в текущем состоянии. Не удаляйте файлы наугад: так можно уничтожить улики и сломать сайт, не убрав при этом «запасных дверей».
Что делать, если взлом подтвердился
Лечение заражённого сайта — это не просто удаление подозрительных файлов. Полноценная процедура включает несколько этапов:
- Изоляция — при необходимости сайт временно закрывают для посетителей, чтобы не заражать их и не усугублять санкции поисковиков.
- Поиск всех вредоносных элементов — в файлах, базе данных, планировщике, на уровне сервера.
- Очистка и замена — файлы ядра, тем и плагинов заменяются на чистые оригиналы, вредоносные вставки удаляются из базы.
- Поиск точки входа — уязвимый плагин, украденный пароль, заражённый соседний сайт на хостинге. Без устранения причины заражение вернётся.
- Защита — обновления, ограничение доступа к админке, права на файлы, межсетевой экран, двухфакторная аутентификация.
- Снятие санкций — запрос на перепроверку в панелях вебмастеров и удаление спамных страниц из индекса.
Восстановление из резервной копии — хороший вариант, если есть уверенность, что копия сделана до заражения, и если после восстановления будет закрыта уязвимость. Иначе сайт будет взломан повторно тем же способом, иногда уже через несколько часов.
Чем опасно промедление
Владельцы небольших сайтов иногда рассуждают так: «Сайт же работает, заявки приходят, разберёмся потом». Но последствия заражения накапливаются с каждым днём. Поисковые системы, обнаружив вредоносный код, понижают сайт в выдаче или помечают его как опасный, и посетители перестают переходить по ссылкам. Браузеры показывают предупреждение во весь экран. Хостинг может заблокировать аккаунт, и тогда перестанет работать не только сайт, но и почта на домене. Если с сервера рассылался спам, домен попадает в чёрные списки, и даже обычные письма клиентам начинают уходить в спам.
Отдельный риск — данные. Если на сайте есть формы, личные кабинеты или интернет-магазин, злоумышленник может получить доступ к контактам клиентов и истории заказов. Для бизнеса это не только технический, но и репутационный, а иногда и юридический вопрос. Чем дольше вредоносный код находится на сайте, тем больше «закладок» он успевает оставить и тем сложнее и дороже становится полноценная чистка. Поэтому правило простое: обнаружили признаки — действуйте в тот же день.
Вывод
Взлом сайта почти никогда не бывает очевидным. Выборочные редиректы, спам в поисковой выдаче, незнакомые администраторы, изменённые файлы, рост нагрузки и предупреждения браузеров — всё это поводы для немедленной проверки. Подключите панели вебмастеров, регулярно просматривайте список пользователей и плагинов, храните резервные копии вне сервера. А если признаки заражения уже есть, не откладывайте: обратитесь в нашу службу лечения сайтов от вирусов — найдём и удалим вредоносный код, закроем точку входа и поможем вернуть доверие поисковиков. Для постоянной защиты подойдёт администрирование с мониторингом и регулярными обновлениями.
