Уведомление Imunify о заражённых файлах: что сделать в течение 24 часов
ПечатьВы получили от TopHost сообщение о том, что Imunify360 нашёл заражённые файлы в Вашем хостинг-аккаунте. Это значит, что при сканировании в файлах сайта обнаружен вредоносный или подозрительный код. По Условиям TopHost у Вас есть 24 часа с момента получения уведомления, чтобы очистить аккаунт, разобраться в причине и сообщить нам.
Коротко: сделайте копию сайта, обновите всё установленное, смените все пароли и ответьте на уведомление, описав, что сделано. Если не уверены, что это за файл, спросите нас, прежде чем его удалять.
Что нужно сделать
- Изучите список файлов в уведомлении или в cPanel, раздел Security, Imunify360. Запишите пути: по ним видно, где проблема, в ядре CMS, в плагине, в теме или в постороннем файле.
- Сохраните копию файлов и базы данных до любых изменений. Если при очистке что-то сломается, будет откуда восстановить.
- Обновите CMS, темы и плагины. Для WordPress рекомендуем WP Toolkit в cPanel или Softaculous; админка WordPress запасной вариант.
- Удалите неиспользуемые расширения. Отключённый, но оставленный на сервере плагин всё равно может быть атакован.
- Смените пароли: администраторов CMS, cPanel, FTP-аккаунтов и пользователей баз данных. Не забудьте прописать новый пароль базы данных в конфигурационном файле сайта (в WordPress это
wp-config.php). - Проверьте Cron Jobs в cPanel. Злоумышленник может оставить задание по расписанию, которое возвращает удалённые файлы. Удалите любую команду, которую Вы не узнаёте.
- Ответьте на уведомление и коротко опишите, что Вы сделали.
Как поступить с разными файлами
- Незнакомый файл с нечитаемым кодом: как правило, его подложил злоумышленник. Удалите его или обратитесь к нам, если сомневаетесь.
- Файл плагина, темы или ядра: не удаляйте его отдельно. Переустановите компонент из официального источника; про ядро WordPress см. Изменены системные файлы WordPress: проверка и восстановление.
- Файл, написанный Вами или Вашим разработчиком: возможно, это ложное срабатывание. Пришлите путь к нему в тикете, и мы проверим.
- Заражение возвращается после очистки: лазейка не закрыта. Обычно это плагин с известной уязвимостью (что делать), пароль, украденный с заражённого компьютера, или оставшееся cron-задание.
Вопросы и ответы
Можно вернуться к копии, сделанной до заражения?
Да. JetBackup хранит копии в ротации 30 дней, так что можно выбрать день до заражения: Как восстановить сайт или отдельные файлы через JetBackup 5. Учтите, что вместе с копией вернётся и уязвимость. Если не обновиться и не сменить пароли, злоумышленник может вернуться тем же путём уже через несколько дней.
Что будет, если ничего не делать?
Если угроза признана серьёзной, аккаунт могут заблокировать сразу, даже до истечения 24 часов; в этом случае мы свяжемся с Вами и поможем. Если приостановка уже произошла, см. что делать, если хостинг приостановлен.
Мне кажется, это ложная тревога
Откройте тикет с полным путём к файлу. Мы его проверим и, если файл чистый, подскажем, что делать дальше.
Вы поможете с очисткой?
Если сайт работает неправильно или Вы не знаете, с чего начать, напишите в тикете список файлов и что уже пробовали. Для полной очистки взломанного сайта советуем подключить и разработчика сайта.
