Сайт взломали: первые шаги в правильном порядке
ПечатьОбнаружить взлом сайта неприятно, но паника вредит больше, чем сама атака. Большинство взломанных сайтов удаётся восстановить, если не уничтожить следы и сначала закрыть лазейку, через которую проник злоумышленник. Порядок действий ниже важен.
Признаки взлома
- Посетителей перебрасывает на чужие сайты, причём часто только тех, кто пришёл с телефона или из Google, поэтому сами Вы можете ничего не замечать.
- Появились страницы, ссылки, тексты на других языках или администраторы, которых Вы не создавали.
- Браузер предупреждает об опасном сайте, или Google в результатах поиска пишет, что сайт может быть взломан.
- Вы получили от нас уведомление Imunify360 о вредоносных файлах или о рассылке спама.
Что сделать сразу
- Зафиксируйте происходящее. Сделайте скриншоты, запишите адреса затронутых страниц, дату и время. Эти детали сильно помогают найти причину.
- Сохраните копию текущего состояния. Скачайте файлы и базу данных в том виде, в каком они есть, даже заражёнными. Положите копию в отдельную папку с понятным названием (например, «zarazhen-data»), чтобы никогда не перепутать её с чистым бэкапом.
- Проверьте компьютер. Запустите полную антивирусную проверку на всех компьютерах, с которых Вы заходите в cPanel, по FTP или в админку сайта. Шпионская программа украдёт и новые пароли.
- Смените пароли с чистого компьютера: личный кабинет TopHost, cPanel, все FTP-аккаунты, пользователей баз данных (затем обновите конфигурационный файл сайта), администраторов CMS и почтовые ящики.
- Ищите «чёрный ход». В cPanel проверьте FTP Accounts, Forwarders (пересылку почты) и Cron Jobs. Злоумышленники часто оставляют лишний FTP-аккаунт, пересылку писем или задание по расписанию, которое снова заражает сайт. В CMS проверьте список пользователей с правами администратора.
- Напишите нам. Откройте тикет и опишите, что Вы заметили и что уже сделали.
Ошибки, которые всё усугубляют
- Удалять файлы наугад. Можно стереть и нужные файлы, и сайт вообще перестанет запускаться.
- Восстанавливать бэкап до смены паролей. У злоумышленника остаётся доступ, и через несколько часов он вернётся.
- Платить тому, кто обещает «разблокировать» сайт. Гарантий никаких, деньги будут потеряны.
- Игнорировать наше уведомление. По Условиям предоставления услуг после уведомления о вредоносных файлах у Вас есть 24 часа, чтобы принять меры и сообщить нам. Если угроза серьёзная, аккаунт могут заблокировать сразу, чтобы защитить других клиентов.
Очистка и восстановление работы сайта
- Откройте в cPanel раздел Security, затем Imunify360, и посмотрите список файлов, найденных при проверке.
- Если Вы примерно знаете, когда началась проблема, восстановите копию до этой даты через JetBackup 5. Копии хранятся по ротации 30 дней, так что не откладывайте. Порядок действий описан в статье о восстановлении через JetBackup 5.
- Обновите CMS, темы и плагины. Для WordPress проще всего сделать это в cPanel через WP Toolkit, другой вариант – из админки WordPress.
- Полностью удалите плагины и темы, которыми Вы не пользуетесь.
- Включите двухфакторную аутентификацию везде, где это возможно.
- Если Google или браузеры пометили сайт, после очистки запросите повторную проверку. См. статью о том, что делать, если сайт помечен как мошеннический.
Другие вопросы
Чем может помочь команда TopHost?
Мы расскажем, что нашёл Imunify360, поможем восстановить резервные копии и посмотрим журналы сервера, чтобы понять, откуда шли подозрительные запросы. Очистка кода сайта и устранение уязвимостей в CMS и плагинах остаются за Вами или за разработчиком сайта.
Нужно ли кого-то уведомлять?
Если при взломе могли утечь персональные данные Ваших клиентов (имена, телефоны, адреса, заказы), у Вас может быть обязанность сообщить об этом органу по защите данных. В Республике Молдова это Национальный центр по защите персональных данных (datepersonale.md). Если среди клиентов есть жители Европейского союза, действует и GDPR, который, как правило, требует уведомления в течение 72 часов (ст. 33 GDPR). По Вашему конкретному случаю лучше проконсультироваться с юристом.
Как злоумышленник попал на сайт?
Чаще всего через необновлённый плагин или тему либо через украденный или слишком простой пароль. Если причину не найти и не устранить, заражение вернётся даже после успешной очистки. Найти её поможет список проверок из статьи о выявлении вирусов и вредоносного кода.
