Лечение сайта от вирусов: пошаговая инструкция

Как понять, что сайт заражён

Вредоносный код часто работает незаметно. Владелец может месяцами не догадываться о проблеме, пока не заметит падение трафика или не получит жалобу от клиента. Злоумышленникам невыгодно, чтобы вы сразу обнаружили взлом: им нужно, чтобы сайт продолжал приносить им пользу.

Чаще всего заражение выдаёт поведение сайта. Он может перенаправлять посетителей на сторонние ресурсы, особенно тех, кто пришёл из поиска или с мобильных устройств. Владелец при этом заходит на сайт напрямую и ничего подозрительного не видит. В индексе появляются страницы с рекламой лекарств, ставок или контрафакта, которых вы не создавали. В коде страниц обнаруживаются скрытые ссылки на чужие сайты.

Вторая группа признаков связана с реакцией внешних систем. Браузер предупреждает посетителей об опасности, в Яндекс Вебмастере и Google Search Console появляются уведомления о проблемах безопасности, хостинг присылает письмо о подозрительной активности или резко выросшей нагрузке. Если вы увидели хотя бы один из этих сигналов, сайт нужно проверить немедленно.

Какие бывают угрозы и как они попадают на сайт

Под словом «вирус» обычно скрывается целый набор вредоносных решений. Это могут быть веб-шеллы, дающие злоумышленнику полный доступ к файлам, скрипты для рассылки спама, майнеры, фишинговые страницы, дорвеи, генерирующие тысячи мусорных страниц, и код для скрытых редиректов. Некоторые вредоносные скрипты показывают чужой контент только поисковым роботам. Это называется клоакингом, и такой код особенно трудно заметить.

Пути проникновения тоже довольно предсказуемы. Чаще всего это устаревшие версии CMS, плагинов и тем с известными уязвимостями, слабые или повторно используемые пароли от админки, FTP и хостинга, а также взломанные («nulled») шаблоны и расширения, в которые вредоносный код встроен с самого начала. Нередко вирус попадает на сайт через заражённый компьютер администратора, на котором сохранены пароли от FTP.

Понимание типа угрозы помогает быстрее найти вредоносный код и выбрать правильный способ лечения.

Не паникуйте: порядок действий важнее скорости

Первая реакция владельца обычно такая: срочно удалить всё подозрительное и перезалить сайт. Спешка здесь вредит. Если стереть файлы без анализа, вы потеряете следы того, как произошёл взлом, и не поймёте, какая именно уязвимость была использована. Кроме того, бэкап, сделанный в день обнаружения проблемы, может уже содержать вредоносный код.

Поэтому лечение лучше выстроить как последовательный процесс: сначала остановить ущерб, затем сохранить доказательства, после этого найти и удалить код, закрыть брешь и только потом общаться с поисковыми системами. Ниже приведена проверенная последовательность шагов.

Что делать после очистки: работа с поисковыми системами

Когда вредоносный код удалён, лечение ещё не закончено. Если поисковики успели пометить сайт как опасный или удалить страницы из выдачи, пометки не исчезнут сами в тот же момент. Нужно показать поисковым системам, что проблема устранена.

В Яндекс Вебмастере проверьте раздел «Безопасность и нарушения»: там отображаются найденные угрозы, а после исправления можно запросить повторную проверку. В Google Search Console аналогичная информация находится в отчёте о проблемах безопасности, где также есть возможность отправить сайт на повторную проверку. Если пометки нет, но вы видели подозрительные страницы в индексе, удалите их и обновите карту сайта.

Профилактика: дешевле, чем лечение

Лечение занимает время и деньги, а простой сайта означает потерянные заявки. Профилактика же требует нескольких регулярных действий. Главное из них — своевременные обновления: большинство массовых взломов используют уязвимости, исправленные разработчиками много месяцев назад.

Второе по важности — управление доступами. Для каждого сотрудника создавайте отдельную учётную запись с минимально необходимыми правами, а старые учётные записи удаляйте сразу после ухода человека из команды. Пароли должны быть уникальными для каждого сервиса, лучше всего хранить их в менеджере паролей.

Третья составляющая — резервные копии. Храните не менее нескольких последних версий вне сервера и периодически проверяйте, что из них действительно можно восстановить сайт. Для контроля подключите уведомления в Яндекс Вебмастере и Google Search Console: поисковики часто сообщают о проблеме раньше, чем её заметит владелец.

Когда лучше обратиться к специалисту

Самостоятельная очистка подходит для простых случаев: небольшой сайт, свежая резервная копия и понятный источник проблемы. Если же вирус возвращается после чистки, на сервере находятся десятки заражённых сайтов, отсутствует доступ к серверу или вы не можете найти точку входа, лучше сразу привлечь специалиста по безопасности.

Опытный специалист проанализирует логи, найдёт скрытые бэкдоры, которые пропускают обычные сканеры, и проверит соседние проекты на том же аккаунте хостинга. Это особенно важно, если несколько сайтов размещены вместе: заражение одного нередко приводит к заражению остальных.