Jak sprawdzić, czy strona internetowa ma wirusa?
Infekcja strony internetowej nie zawsze jest od razu widoczna. Czasami strona działa pozornie prawidłowo, ale w tle wysyła spam, tworzy niechciane podstrony, przekierowuje wybranych użytkowników lub umożliwia osobie atakującej ponowny dostęp do serwera.
Im wcześniej rozpoznasz problem, tym większa szansa na ograniczenie strat, uniknięcie blokady hostingu oraz ochronę pozycji strony w Google.
Najczęstsze objawy zainfekowanej strony
1. Strona przekierowuje na reklamy lub obce witryny
Po wejściu na stronę użytkownik zostaje przeniesiony do sklepu internetowego, strony z reklamami, fałszywego konkursu, serwisu hazardowego, strony z komunikatem o rzekomym wirusie lub nieznanej domeny.
Przekierowanie może występować tylko na telefonach, przy pierwszej wizycie, po wejściu z Google, u niezalogowanych użytkowników lub w określonych krajach i porach dnia. Z tego powodu administrator strony może sam nie zauważyć infekcji.
2. Google pokazuje ostrzeżenie o zagrożeniu
Niepokojącym sygnałem są komunikaty takie jak: Ta witryna może wyrządzić szkody na Twoim komputerze, Niebezpieczna witryna, Ta strona mogła zostać zaatakowana przez hakerów lub Wykryto problemy dotyczące bezpieczeństwa.
W takiej sytuacji należy sprawdzić raport bezpieczeństwa w Google Search Console. Samo usunięcie komunikatu nie rozwiązuje jednak problemu — najpierw trzeba oczyścić stronę i usunąć przyczynę włamania.
3. W wynikach Google pojawiły się obce podstrony
Właściciel strony może zauważyć w Google japońskie lub chińskie znaki, strony dotyczące leków, pożyczek lub kasyn, setki nowych adresów URL, obce tytuły i opisy albo treści, których nie ma w panelu administracyjnym.
Jest to często tak zwany spam SEO. Złośliwy kod generuje podstrony widoczne głównie dla robotów wyszukiwarek, dlatego właściciel strony może ich nie widzieć podczas zwykłego przeglądania witryny.
4. Hosting zablokował stronę
Firma hostingowa może zablokować stronę lub całe konto z powodu wykrycia złośliwych plików, masowej wysyłki wiadomości e-mail, nadmiernego obciążenia procesora, atakowania innych serwerów lub działania skryptu phishingowego.
Nie należy usuwać tylko plików wskazanych przez hosting. Są one często objawem infekcji, a nie jej pierwotną przyczyną.
5. Na serwerze pojawiają się nieznane pliki
Szczególną uwagę powinny zwrócić:
- pliki PHP w katalogach przeznaczonych na obrazy
- pliki o przypadkowych nazwach
- nowe pliki
index.php
- zmodyfikowane pliki
.htaccess
- pliki zawierające niezrozumiały, zakodowany kod
- pliki tworzące się ponownie po usunięciu
Nie każdy nietypowy plik jest wirusem. Nie należy kasować go bez analizy, ponieważ może być częścią legalnego rozszerzenia lub mechanizmu działania strony.
6. Pojawiło się nieznane konto administratora
Sprawdź listę użytkowników w panelu CMS oraz bezpośrednio w bazie danych. Niepokojące są konta administratorów, których nie rozpoznajesz, zmienione adresy e-mail, nowe konta utworzone bez Twojej wiedzy, administratorzy ukryci przed standardowym widokiem panelu oraz zmiana hasła lub adresu e-mail właściciela strony.
Usunięcie nieznanego użytkownika może być konieczne, ale nie wystarczy, jeżeli atakujący pozostawił na serwerze dodatkowy mechanizm dostępu.
7. Strona zaczęła działać bardzo wolno
Nagły spadek wydajności może być spowodowany przez wysyłkę spamu, kopanie kryptowalut, wykonywanie zewnętrznych skryptów, generowanie tysięcy podstron lub ataki prowadzone z Twojego serwera. Wolne działanie powinno zostać sprawdzone, szczególnie gdy jednocześnie wzrosło zużycie procesora, pamięci lub transferu.
8. Strona wysyła nieznane wiadomości
Sprawdź, czy z serwera nie są wysyłane wiadomości spamowe, fałszywe faktury, wiadomości phishingowe, masowe powiadomienia do nieznanych odbiorców lub wiadomości wykorzystujące adres Twojej domeny. Wysyłka spamu może szybko spowodować zablokowanie domeny lub adresu IP serwera.
9. Zmieniła się treść albo wygląd strony
Objawami włamania mogą być zmieniona strona główna, nieznane reklamy, dodatkowe linki w stopce, ukryte odnośniki, nowe formularze, obcy kod JavaScript lub komunikat pozostawiony przez atakującego.
Należy sprawdzić nie tylko aktualną treść, ale również pliki szablonu, moduły, widżety oraz wpisy znajdujące się w bazie danych.
Jak bezpiecznie sprawdzić stronę?
Wykonaj kopię aktualnego stanu
Przed rozpoczęciem analizy wykonaj kopię wszystkich plików, bazy danych, konfiguracji serwera oraz logów dostępu i błędów. Nawet zainfekowana kopia może być potrzebna do ustalenia sposobu włamania i odzyskania przypadkowo usuniętych danych.
Sprawdź stronę z innego urządzenia
Otwórz stronę na telefonie, w trybie prywatnym, bez logowania do panelu, przez inną sieć internetową i po wejściu z wyszukiwarki. Niektóre infekcje ukrywają się przed administratorem lub uruchamiają tylko w określonych warunkach.
Skontroluj pliki i daty modyfikacji
Sprawdź, które pliki zostały ostatnio zmienione — szczególnie te modyfikowane w czasie, gdy nie wykonywano aktualizacji ani zmian na stronie. Data modyfikacji jest jedynie wskazówką, ponieważ atakujący może ją zmienić albo zainfekować starszy plik.
Sprawdź bazę danych
Infekcja może znajdować się w treści artykułów, ustawieniach strony, widżetach, tabeli użytkowników, opcjach automatycznie ładowanych lub rekordach odpowiedzialnych za zadania cykliczne. Skanowanie wyłącznie plików nie daje pewności, że strona jest czysta.
Sprawdź wszystkie strony na hostingu
Jeżeli na jednym koncie znajduje się kilka stron, należy skontrolować każdą z nich. Stara, nieużywana instalacja WordPressa lub Joomla może być źródłem ponownej infekcji pozostałych witryn.
Czy internetowy skaner wystarczy?
Zewnętrzny skaner może wykryć widoczne przekierowania, podejrzany JavaScript, obecność domeny na liście ostrzeżeń oraz część znanych sygnatur malware. Nie ma jednak dostępu do całego systemu plików, bazy danych, zadań cron ani kont hostingowych.
Brak ostrzeżenia w skanerze nie oznacza, że strona jest bezpieczna.
Kiedy potrzebna jest pomoc specjalisty?
Profesjonalna analiza jest szczególnie wskazana, gdy:
- strona przekierowuje użytkowników
- hosting zablokował konto
- wirus wraca po usunięciu
- na serwerze znajduje się kilka stron
- w Google pojawił się spam SEO
- istnieje ryzyko dostępu do danych klientów
- nie masz aktualnej i pewnej kopii zapasowej
- nie wiesz, które pliki są prawidłowe
Nie usuwaj przypadkowych plików i nie przywracaj strony bez wcześniejszego zabezpieczenia obecnego stanu. Nieprawidłowe działania mogą zniszczyć dowody włamania, usunąć ważne dane lub pozostawić aktywny backdoor.