Wirusy na stronie internetowej: jak się ich pozbyć?

Wirus na stronie internetowej to najczęściej złośliwy kod albo obce podstrony dodane przez kogoś, kto wykorzystał lukę w zabezpieczeniach. Usuwasz go w stałej kolejności: odcinasz dostęp intruzowi, czyścisz pliki i bazę, zamykasz lukę, a potem prosisz Google o ponowne sprawdzenie. Poniżej znajdziesz objawy, kolejne kroki i zabezpieczenia, które chronią przed powtórką.

Jak poznać, że strona ma wirusa?

Najpewniejszym sygnałem jest komunikat Google: w Search Console raport problemów dotyczących bezpieczeństwa pokazuje, że strona została zhakowana albo rozsyła szkodliwe pliki. Google może wtedy pokazać ostrzeżenie przy wyniku wyszukiwania, a przeglądarka może wyświetlić planszę z ostrzeżeniem, zanim klient wejdzie na stronę.

Wiele infekcji widać jednak wcześniej. Zwróć uwagę na takie objawy:

• część odwiedzających trafia na obce strony, choć Ty sam widzisz wszystko poprawnie;
• w Google pojawiają się podstrony Twojej domeny, których nie tworzyłeś, często o lekach, kasynach albo podróbkach;
• w treści lub w kodzie są linki i teksty, których nikt w firmie nie dodawał;
• na serwerze są nowe pliki o dziwnych nazwach, a w panelu CMS nowe konta administratorów;
• hosting blokuje konto albo informuje o nadmiernym zużyciu zasobów i wysyłce spamu.

Słowo „wirus” jest tu skrótem. Google opisuje takie przypadki jako treści zhakowane, czyli umieszczone na stronie bez zgody właściciela przez lukę w zabezpieczeniach, oraz jako złośliwe oprogramowanie.

Skąd biorą się wirusy na stronie?

Złośliwy kod trafia na stronę przez lukę w zabezpieczeniach, a nie przez przypadek. Google w swoich zaleceniach wskazuje te same źródła problemów, które najczęściej spotykamy przy stronach firmowych:

• Słabe albo wykradzione hasła do panelu CMS, hostingu, bazy danych lub serwera FTP.
• Nieaktualne oprogramowanie: system CMS, wtyczki, motywy i biblioteki ze znanymi lukami.
• Dodatki z niepewnych źródeł: wtyczki, motywy i skrypty reklamowe od dostawców bez danych kontaktowych i wsparcia.
• Zainfekowany komputer, z którego logujesz się do panelu. Złośliwe oprogramowanie na stacji roboczej potrafi przechwycić hasła.
• Nieszyfrowane połączenia. Google zaleca SSH albo SFTP zamiast zwykłego FTP, który przesyła dane otwartym tekstem. Więcej o tym, kiedy dostęp FTP jest w ogóle potrzebny, piszemy osobno.
• Błędy w konfiguracji serwera i kodu: zbyt szerokie uprawnienia katalogów, podatności na wstrzyknięcie SQL albo na skrypty uruchamiane w przeglądarce (XSS).

Dla firmy wniosek jest prosty: większość tych luk zamyka porządek w dostępach i aktualizacjach, a nie drogie narzędzia.

Jak włamanie szkodzi widoczności w Google?

Treści zhakowane łamią zasady Google dotyczące spamu, nawet jeśli to nie Ty je dodałeś. Google opisuje cztery główne formy włamania:

Rodzaj	Co robi intruz	Jak to zauważyć
Wstrzyknięcie kodu	dokleja skrypt JavaScript albo ramkę iframe do istniejących stron	obcy kod w źródle strony, nieznane skrypty
Wstrzyknięcie stron	tworzy w Twojej domenie nowe podstrony ze spamem lub szkodliwą treścią	nieznane adresy w Google i w Search Console
Wstrzyknięcie treści	ukrywa linki i teksty na istniejących stronach, czasem pokazuje je tylko robotom	linki widoczne w kodzie, a niewidoczne na ekranie
Przekierowania	kieruje część osób na strony ze spamem lub oszustwem	przekierowanie zależy od źródła wejścia, przeglądarki albo urządzenia

Ostatnie dwie formy są podstępne, bo właściciel ich nie widzi. Zhakowana strona potrafi pokazać inną treść robotowi Googlebot, a inną Tobie. Dlatego w podejrzanych miejscach warto zajrzeć do kodu źródłowego strony, a nie tylko na jej wygląd.

Bezpieczeństwo jest więc warunkiem widoczności w Google Search , a nie osobnym tematem dla informatyka.

Skutki dla wyników są dwa. Strona może dostać ostrzeżenie w wynikach albo w przeglądarce, więc klienci ją omijają. Do indeksu trafiają też obce podstrony, które psują obraz domeny i odbierają uwagę stronom, na których zarabiasz. Bezpieczeństwo jest więc warunkiem widoczności w Google Search, a nie osobnym tematem dla informatyka.

Jak usunąć wirusa ze strony krok po kroku?

Działaj w tej kolejności, bo każdy krok zamyka drogę, którą intruz mógłby wrócić w trakcie sprzątania.

1. Zgłoś problem do hostingu. Firma hostingowa często ma skaner plików, kopie zapasowe i logi, których Ty nie widzisz.
2. Ogranicz dostęp do strony na czas czyszczenia, np. przez stronę techniczną. Chronisz w ten sposób klientów przed szkodliwym kodem.
3. Sprawdź swój komputer programem antywirusowym, zanim zalogujesz się gdziekolwiek ponownie.
4. Zmień wszystkie hasła: do panelu CMS, hostingu, bazy danych, FTP lub SFTP i do skrzynki, na którą przychodzą resety haseł. Usuń konta administratorów, których nie znasz.
5. Otwórz raport problemów dotyczących bezpieczeństwa w Search Console. Przykładowe adresy z raportu pokazują, gdzie szukać.
6. Przywróć kopię zapasową sprzed infekcji, jeśli masz pewność, że jest czysta. Nawet wtedy zainstaluj od razu aktualizacje, bo inaczej przywracasz też lukę.
7. Bez czystej kopii wyczyść pliki ręcznie. Szukaj plików zmienionych w ostatnich dniach, obcych plików PHP w katalogach na obrazki, zmian w pliku .htaccess i doklejonego kodu na początku albo na końcu plików. Sprawdź też bazę danych, bo spam i linki często siedzą w treści wpisów.
8. Zaktualizuj CMS, wtyczki i motywy, a nieużywane dodatki usuń.
9. Sprawdź wynik. Wyszukaj w Google site:twojadomena.pl i przejrzyj adresy, których nie tworzyłeś.

Kopia zapasowa czy ręczne czyszczenie?

Czysta kopia jest szybsza i pewniejsza. Ręczne czyszczenie ma sens, gdy kopii nie ma albo gdy infekcja jest starsza niż najstarsza kopia. Przy dużym sklepie ze stałym ruchem zleć to specjaliście: jeden pominięty plik wystarczy, żeby intruz wrócił.

Jak poprosić Google o ponowne sprawdzenie strony?

Po wyczyszczeniu całej strony wysyłasz prośbę o sprawdzenie w raporcie problemów dotyczących bezpieczeństwa w Search Console. Według pomocy Search Console w prośbie opisujesz dokładnie problem oraz kroki, które wykonałeś. Dopisz też, jaki dały wynik.

Trzy zasady oszczędzają czas:

• Napraw wszystko, nie tylko przykładowe adresy. Google zaznacza, że częściowa naprawa nie daje częściowego powrotu do wyników.
• Nie wysyłaj prośby ponownie, gdy poprzednia czeka. Przedwczesne prośby wydłużają sprawdzanie.
• Licz się z czasem. Sprawdzenie większości problemów bezpieczeństwa trwa według Google od kilku dni do kilku tygodni.

Pośpiech bywa kosztowny. Strona, która wielokrotnie przechodzi od stanu zgodnego z zasadami do niezgodnego, może zostać uznana przez Google Safe Browsing za recydywistę. Przez 30 dni od takiej decyzji nie wyślesz wtedy nowej prośby o sprawdzenie.

Jak zabezpieczyć stronę przed kolejnym włamaniem?

Najlepszym zabezpieczeniem jest stały rytm drobnych czynności. Google w zaleceniach dla właścicieli stron stawia na pierwszym miejscu hasła, aktualizacje i monitorowanie.

• Hasła i dostępy: mocne, różne hasła dla każdego systemu, logowanie dwuetapowe tam, gdzie CMS lub hosting je oferuje, osobne konta dla każdej osoby i agencji.
• Aktualizacje: prowadź listę oprogramowania i wtyczek z numerami wersji. Sprawdź też, czy hosting instaluje poprawki systemu serwera.
• Dodatki: tylko od dostawców, którzy podają kontakt i wsparcie. Każda nieużywana wtyczka to kolejne drzwi.
• Połączenia: SFTP albo SSH zamiast FTP i certyfikat SSL na całej stronie.
• Kopie zapasowe: automatyczne, przechowywane poza serwerem strony i sprawdzone przez próbne odtworzenie.
• Monitorowanie: powiadomienia e-mail z Search Console, okresowe sprawdzenie site: w Google i przegląd logów serwera pod kątem nietypowych adresów i nagłych skoków ruchu.

Godzina takiej pracy w miesiącu kosztuje mniej niż tydzień strony z ostrzeżeniem w wynikach i utracone w tym czasie zapytania od klientów.

Co zrobić teraz?

Jeśli podejrzewasz infekcję, nie czekaj na ostrzeżenie Google. Zacznij od dwóch szybkich testów: wyszukaj site: z adresem swojej domeny i otwórz raport bezpieczeństwa w Search Console.

Jeśli oba są czyste, potraktuj ten tekst jako listę kontrolną: zmień stare hasła, zaktualizuj CMS i wtyczki, ustaw kopie zapasowe poza serwerem i włącz powiadomienia e-mail z Search Console.

Jeśli znajdziesz obce podstrony, idź po kolei przez kroki z tego poradnika i nie wysyłaj prośby o sprawdzenie, zanim nie usuniesz luki, przez którą intruz wszedł.

Najczęstsze pytania.

Czy wirus na stronie może zainfekować komputer klienta?

Tak. Google opisuje złośliwe oprogramowanie w sieci jako kod, który może działać bez żadnego działania użytkownika, oraz szkodliwe pliki do pobrania. Dlatego przeglądarki ostrzegają przed takimi stronami.

Czy darmowy skaner stron online wystarczy, żeby wykryć wirusa?

Nie zawsze. Skaner widzi stronę z zewnątrz, a zhakowana strona potrafi pokazywać szkodliwą treść tylko niektórym odwiedzającym lub robotom. Pewniejszy jest skan plików na serwerze i przegląd bazy danych.

Czy certyfikat SSL chroni stronę przed wirusami?

Nie. SSL szyfruje połączenie między przeglądarką a serwerem, ale nie łata luk w CMS, wtyczkach ani hasłach.

Czy po usunięciu wirusa strona wróci na dawne pozycje?

Zwykle tak, gdy naprawa jest pełna, ale nie od razu. Google musi sprawdzić stronę i ponownie przetworzyć jej adresy, a sprawdzenie problemu bezpieczeństwa trwa od kilku dni do kilku tygodni.