Сайт взломали: что делать в первые часы

Когда сайт взломали, первые часы решают, сколько данных вы сохраните и как быстро вернёте сайт. Паника и спешные правки часто делают хуже: стирают следы, по которым можно найти лазейку, и оставляют её открытой. Вот спокойный план действий.

Как понять, что это взлом, а не сбой

Обычный сбой ломает сайт, а взлом чаще меняет его поведение. Насторожиться стоит, если:

• посетители попадают на казино, знакомства или сомнительные магазины, особенно с телефонов и из поиска;
• в админке появились пользователи, которых вы не добавляли;
• браузер или Яндекс показывают предупреждение об опасном сайте;
• хостинг прислал письмо о вирусах или спаме с вашего сайта;
• пароль от админки вдруг перестал подходить.

Подробный список с проверками собран в статье «Признаки заражения сайта».

План на первый час

1. Ничего не удаляйте. Заражённые файлы это улики. По ним видно, как и когда зашли.
2. Сделайте копию сайта как есть: файлы и базу данных. Она нужна для расследования, а не для восстановления.
3. Проверьте свой компьютер антивирусом. Пароли от сайтов часто крадут именно с компьютера владельца или подрядчика.
4. Смените все пароли с чистого устройства: от хостинга, админки сайта, FTP, базы данных и почты. Если на сервер заходят по ключам, замените и их.
5. Запишите и удалите чужих администраторов. Сначала сделайте снимок экрана со списком, потом удаляйте.
6. Если сайт заражает посетителей, закройте его на обслуживание. Лучше страница «Скоро вернёмся», чем вирус у клиентов и метка опасного сайта в поиске.
7. Сообщите хостингу. У него есть журналы, которые помогут найти лазейку.

Чего делать нельзя

• Удалять файлы «на глаз». Можно удалить нужное и пропустить главное: вредоносный код часто прячется в обычных на вид файлах и даже в базе данных.
• Просто восстановить резервную копию. Сайт вернётся, а дыра останется. Через несколько дней всё повторится.
• Платить вымогателям. Гарантий никаких, а сайт вы помечаете как место, где можно заработать.
• Пересылать пароли в открытых чатах. Особенно сейчас, когда вы не знаете, откуда утекли старые.

Как найти, через что зашли

Это самая важная часть. Если не найти лазейку, сайт взломают снова, иногда в тот же день. Чаще всего заходят через:

• устаревший плагин или тему с известной уязвимостью. Боты проверяют такие дыры на миллионах сайтов автоматически;
• слабый или утёкший пароль от админки, хостинга или FTP;
• взломанные платные плагины, скачанные бесплатно. В них часто уже встроена лазейка;
• заражённый компьютер владельца, администратора или подрядчика;
• соседний сайт на том же хостинге, если сайты не изолированы друг от друга.

Найти вход помогают журналы сервера, даты изменения файлов и сравнение с чистыми файлами движка. Почти всегда злоумышленник оставляет себе запасной вход, веб-шелл. О нём рассказываем в статье «Веб-шелл: что это и как найти его на сайте».

Как вернуть сайт и защитить его

1. Очистить файлы и базу данных, сравнивая их с оригинальными файлами движка и плагинов.
2. Удалить все запасные входы и задачи по расписанию, которые возвращают вирус.
3. Закрыть лазейку: обновить движок и плагины, удалить лишнее, поменять доступы.
4. Снять метки в поиске. Запросить перепроверку в Яндекс Вебмастере и Google Search Console.
5. Настроить защиту и наблюдение, чтобы о новой попытке вы узнали сразу.

Что передать специалисту

• адрес сайта и что именно вы заметили;
• когда это началось и что меняли на сайте перед этим;
• какой у вас хостинг и есть ли свежие резервные копии;
• доступы, но только безопасным способом, а не в открытой переписке.

Мы начинаем работу от 1 часа после обращения. Удаляем вирусы, находим, как зашли, и закрываем лазейку. В конце выдаём отчёт простым языком: что нашли, что изменили и почему. Стоимость смотрите на главной странице.

Частые вопросы