Антивирус находит вирус на сайте: как проверить и что делать
ПечатьКоротко: если антивирус блокирует Ваш собственный сайт, скорее всего, кто-то внедрил в его страницы вредоносный код (скрытый скрипт, перенаправление, заражённый файл для скачивания). Реже это ложное срабатывание или проблема находится на Вашем компьютере, а не на сайте. Сначала определите, какой из вариантов Ваш, затем очистите сайт и закройте путь, через который он был заражён. Не оставляйте предупреждение без внимания: посетители видят то же самое.
Сначала найдите источник проблемы
- Внимательно прочитайте сообщение. Запишите название угрозы и точный адрес, который был заблокирован. Иногда это не Ваш домен, а сторонний скрипт, который подключает страница (рекламная сеть, счётчик, онлайн-чат). Тогда достаточно убрать этот скрипт с сайта.
- Откройте сайт с другого устройства и через другую сеть, например с телефона через мобильный интернет. Часть внедрённого кода срабатывает только для тех, кто пришёл из Google или зашёл с телефона, поэтому попробуйте также перейти на сайт из результатов поиска.
- Проверьте сайт независимыми сканерами: VirusTotal (вкладка URL) прогоняет адрес через десятки антивирусных движков, а Sucuri SiteCheck ищет известные внедрения и записи в чёрных списках. Учтите, что эти сервисы видят только то, что показывают публичные страницы; скрытый бэкдор среди файлов для них незаметен.
- Посмотрите результаты серверной проверки. В cPanel откройте Security, затем Imunify360. Если файлы были отмечены, там будут видны их пути. Если Вы получили от нас уведомление, действуйте по статье что делать после уведомления Imunify.
| Что Вы увидели | Что это обычно значит |
|---|---|
| Ругается только один антивирус, а сканеры и Imunify360 ничего не находят | Скорее всего, ложное срабатывание. Сообщите адрес разработчику этого антивируса через его форму для ложных срабатываний. |
| Предупреждение появляется на любом сайте, не только на Вашем | Проблема на компьютере или в браузере (расширение, вредоносная программа). Сначала проверьте компьютер. |
| Сайт отмечают несколько движков или Imunify360 показывает файлы | Сайт заражён. Переходите к шагам ниже. |
Как обычно попадает вредоносный код
- Украденный пароль. Вредоносная программа на компьютере, с которого работают по FTP или в cPanel, считывает сохранённые пароли и передаёт их злоумышленнику. Дальше он меняет сайт, входя с вполне действительными данными. Поэтому очистку начинают с компьютера.
- Устаревший плагин, тема или CMS с известной уязвимостью, которую боты ищут автоматически.
- «Бесплатная» копия платной темы или плагина с неофициального сайта. В таких сборках бэкдор часто встроен заранее.
- Слабый или повторно используемый пароль к админке сайта.
Порядок действий
- Полностью проверьте антивирусом все компьютеры и телефоны, с которых Вы управляете сайтом, cPanel или FTP.
- С чистого устройства смените пароли от личного кабинета, cPanel, всех FTP-аккаунтов, пользователей базы данных и администраторов сайта. В FTP-клиенте (например, FileZilla) удалите сохранённые пароли или защитите их мастер-паролем.
- Найдите и удалите вредоносный код по пошаговой проверке в cPanel. Если Вы примерно знаете, когда всё началось, часто быстрее восстановить копию за более раннюю дату: см. восстановление файлов через JetBackup 5.
- Обновите CMS, плагины и темы, а ненужные удалите. Для WordPress в первую очередь используйте WP Toolkit в cPanel; панель WordPress остаётся запасным вариантом.
- Если браузеры или Google тоже отметили сайт, после очистки запросите повторную проверку: как снять предупреждение браузера.
Полный порядок действий при взломе, в том числе что сохранить как доказательства и какие бэкдоры искать, описан в статье сайт взломали: первые шаги.
Частые вопросы
Заражён ли сервер TopHost?
Практически никогда. Каждый аккаунт хостинга отделён от остальных, а сервер проверяет Imunify360. Антивирусы находят код в файлах или базе данных конкретного сайта, и очищать его должен владелец сайта. По Условиям, если мы уведомили Вас о вредоносных файлах, у Вас есть 24 часа, чтобы удалить их и сообщить нам.
Нужно ли отключать сайт на время очистки?
Если посетителей перенаправляет на чужие сайты или им предлагают заражённые файлы, то да: короткая страница техработ лучше, чем заражённые клиенты. Для WordPress режим обслуживания в WP Toolkit включается одним щелчком.
Вы можете помочь?
Да. Откройте тикет в поддержку, укажите адрес сайта, точный текст сообщения антивируса и то, что Вы уже проверили. Мы расскажем, что нашла серверная проверка, и поможем восстановить резервную копию. Исправление собственного кода сайта остаётся задачей Вашей или Вашего разработчика.
