Strona po ataku hakerskim – co zrobić krok po kroku?

Podejrzane przekierowania, nowe konta administratorów, nieznane pliki na serwerze, spam w wynikach Google albo komunikat o niebezpiecznej witrynie mogą oznaczać, że strona została przejęta.

W przypadku WordPressa samo usunięcie widocznego złośliwego pliku często nie wystarcza. Trzeba ustalić zakres infekcji, odciąć dostęp atakującego, oczyścić stronę i znaleźć przyczynę włamania. W przeciwnym razie problem może szybko wrócić.

Poniżej pokazujemy, co zrobić krok po kroku po wykryciu ataku na stronę WordPress.

1. Nie usuwaj od razu wszystkiego z serwera

Pierwszą reakcją może być chęć natychmiastowego usunięcia podejrzanych plików. Lepiej najpierw zabezpieczyć materiał potrzebny do analizy incydentu.

Jeżeli masz dostęp do hostingu, wykonaj kopię:

• plików strony,
• bazy danych,
• logów serwera, jeśli są dostępne,
• aktualnej konfiguracji strony.

Taka kopia może być zainfekowana, dlatego nie należy traktować jej jako czystego backupu przeznaczonego do późniejszego przywrócenia. Może jednak pomóc ustalić, co zostało zmodyfikowane i w jaki sposób doszło do ataku.

2. Sprawdź, co właściwie się wydarzyło

Atak na stronę nie zawsze wygląda tak samo. Objawami mogą być między innymi:

• przekierowania na obce strony,
• reklamy lub treści, których nie publikowałeś,
• nowe konta administratorów,
• nieznane pliki PHP,
• zmodyfikowane pliki WordPressa,
• wysyłanie spamu z serwera,
• ostrzeżenie przeglądarki o niebezpiecznej stronie,
• setki lub tysiące dziwnych podstron widocznych w Google,
• problemy z logowaniem do panelu,
• nagły wzrost wykorzystania zasobów hostingu.

Warto zapisać również przybliżony moment zauważenia problemu. Informacja ta może później pomóc podczas analizy logów i czasu modyfikacji plików.

Jeżeli problem polega na pojawieniu się podejrzanych podstron w wyszukiwarce, przeczytaj również poradnik Dlaczego Google indeksuje dziwne strony z kasynem?.

3. Zmień dane dostępowe

Jeżeli istnieje podejrzenie przejęcia strony, należy założyć, że część danych dostępowych również mogła zostać ujawniona.

Zmień przede wszystkim hasła do:

• kont administratorów WordPressa,
• panelu hostingowego,
• FTP lub SFTP,
• SSH, jeśli jest używane,
• bazy danych, jeśli sytuacja tego wymaga,
• kont powiązanych z administracją stroną.

Hasła powinny być długie, unikalne i nieużywane w innych usługach. Sprawdź również listę użytkowników WordPressa. Nieznane konto z uprawnieniami administratora może być jednym ze sposobów utrzymania dostępu do witryny.

4. Zakończ aktywne sesje użytkowników

Sama zmiana hasła nie zawsze oznacza natychmiastowe zakończenie wszystkich istniejących sesji. Po incydencie warto wymusić ponowne logowanie użytkowników i administratorów.

W WordPressie można to zrobić między innymi przez zmianę kluczy bezpieczeństwa wykorzystywanych przez instalację. Dzięki temu istniejące sesje zostaną unieważnione i użytkownicy będą musieli zalogować się ponownie.

5. Przeskanuj pliki strony

Kolejnym etapem jest znalezienie złośliwego kodu. Szczególnej uwagi wymagają:

• pliki zmodyfikowane niedawno,
• nieznane pliki PHP,
• katalog wp-content/uploads,
• aktywny motyw,
• wtyczki,
• plik .htaccess,
• plik wp-config.php,
• pliki znajdujące się poza typową strukturą WordPressa.

Malware może znajdować się w kilku miejscach jednocześnie. Usunięcie jednego podejrzanego pliku nie oznacza więc, że witryna jest już czysta.

6. Zweryfikuj pliki WordPressa

Pliki rdzenia WordPressa można porównać z oryginalnymi plikami odpowiedniej wersji systemu. Jeżeli masz dostęp do WP-CLI, przydatne może być sprawdzenie sum kontrolnych:

wp core verify-checksums

Nie należy jednak automatycznie usuwać każdego pliku, którego nie obejmuje taka weryfikacja. W instalacji znajdują się również motywy, wtyczki, multimedia oraz pliki charakterystyczne dla konkretnej witryny.

7. Sprawdź motywy i wtyczki

Wtyczki i motywy są częścią powierzchni ataku WordPressa. Po incydencie sprawdź:

• czy wszystkie komponenty są aktualne,
• czy pochodzą z zaufanych źródeł,
• czy nadal są potrzebne,
• czy nie zawierają nieznanych modyfikacji,
• czy ich rozwój nie został zakończony.

Niepotrzebne wtyczki i motywy najlepiej usunąć, zamiast pozostawiać je wyłącznie w stanie nieaktywnym.

8. Sprawdź bazę danych

Złośliwa zawartość nie musi znajdować się wyłącznie w plikach. Sprawdzenia może wymagać również baza danych WordPressa.

Warto zweryfikować między innymi:

• użytkowników i ich uprawnienia,
• opcje WordPressa,
• treści wpisów i stron,
• ustawienia wtyczek,
• podejrzane skrypty, przekierowania lub odnośniki zapisane w treści.

Jest to szczególnie ważne, jeśli na stronie pojawiły się przekierowania, spam SEO albo nieznane konta administratorów.

9. Ustal, w jaki sposób doszło do włamania

Oczyszczenie strony rozwiązuje tylko część problemu. Trzeba jeszcze odpowiedzieć na pytanie: jak atakujący dostał się do środka?

Przyczyną może być przykładowo podatna lub nieaktualna wtyczka, przejęte hasło, zainfekowany komputer administratora albo niewłaściwie zabezpieczone środowisko.

Jeżeli usuniesz malware, ale pozostawisz pierwotną lukę, strona może zostać zainfekowana ponownie. Analiza logów serwera, czasu modyfikacji plików oraz zmian w systemie może pomóc odtworzyć przebieg incydentu.

10. Zaktualizuj środowisko po oczyszczeniu

Po upewnieniu się, że strona jest czysta, zaktualizuj:

• WordPressa,
• aktywny motyw,
• wtyczki,
• środowisko serwera, jeśli wymaga aktualizacji.

Starsze wersje oprogramowania mogą zawierać znane podatności. Aktualizacje są jednym z podstawowych elementów ograniczania ryzyka kolejnego incydentu.

11. Sprawdź stronę w Google

Jeżeli atak wygenerował spamerskie adresy URL, jego skutki mogą być widoczne jeszcze długo po oczyszczeniu serwera.

Warto sprawdzić między innymi Google Search Console, raport dotyczący indeksowania, ewentualne problemy związane z bezpieczeństwem oraz nietypowe adresy pojawiające się w wynikach wyszukiwania.

Nie każda spamerska podstrona powinna być przekierowana na stronę główną. Jeżeli adres został utworzony przez atakującego i nie ma prawdziwego odpowiednika, odpowiedź 404 lub 410 może być właściwsza niż sztuczne przekierowanie.

12. Zabezpiecz stronę przed kolejnym atakiem

Po zakończeniu prac warto potraktować incydent jako okazję do poprawy zabezpieczeń. Podstawą są:

• regularne kopie zapasowe,
• aktualizacje WordPressa, motywów i wtyczek,
• silne i unikalne hasła,
• uwierzytelnianie dwuskładnikowe,
• ograniczenie liczby kont administratorów,
• właściwe uprawnienia plików,
• monitorowanie zmian i logów,
• usuwanie nieużywanych wtyczek i motywów,
• zabezpieczenie komputerów używanych do administracji stroną.

Nie istnieje konfiguracja gwarantująca stuprocentową odporność na atak. Dobre zabezpieczenia mają przede wszystkim zmniejszyć ryzyko włamania oraz ograniczyć jego skutki.

Czy wystarczy przywrócić kopię zapasową?

Niekoniecznie. Przywrócenie czystej kopii może być bardzo pomocne, ale trzeba wiedzieć, kiedy doszło do włamania. Backup wykonany już po infekcji może zawierać ten sam złośliwy kod.

Samo przywrócenie strony nie usuwa również przyczyny ataku. Jeśli problemem była podatna wtyczka albo przejęte hasło, sytuacja może się powtórzyć.

Dlatego po przywróceniu kopii nadal należy zaktualizować środowisko, zmienić dane dostępowe i zweryfikować zabezpieczenia.

Kiedy warto zlecić oczyszczenie strony specjaliście?

Samodzielne usuwanie infekcji wymaga dostępu do plików, bazy danych i często również logów serwera. Pomoc techniczna jest szczególnie wskazana, gdy:

• nie możesz zalogować się do WordPressa,
• strona cały czas infekuje się ponownie,
• hosting blokuje konto z powodu wykrytego malware,
• z serwera wysyłany jest spam,
• infekcja obejmuje kilka stron,
• nie wiadomo, które pliki są prawidłowe,
• problem wpływa na widoczność witryny w Google.

W takich przypadkach ważne jest nie tylko ponowne uruchomienie witryny, ale również ustalenie źródła problemu i zamknięcie drogi, którą wykorzystał atakujący.

Po usunięciu infekcji warto zadbać o aktualizacje, kopie zapasowe i monitoring witryny. Sprawdź naszą ofertę opieki technicznej nad WordPressem.