Сайт заражен вирусом: что делать и как лечить

Как понять, что сайт заражён

Заражение редко выглядит как красное окно с надписью «Вы взломаны». Чаще всего вирус работает тихо: владелец месяцами не замечает проблем, пока не упадёт трафик или не придёт письмо от хостинга. Поэтому полезно знать, какие сигналы указывают на взлом.

Первая группа признаков — то, что видят посетители. Это внезапные перенаправления на сторонние сайты (иногда только с мобильных устройств или только при переходе из поиска), всплывающая реклама, которой раньше не было, изменённое содержимое страниц, незнакомые ссылки в тексте или подвале. Вторая группа — технические сигналы: резкий рост нагрузки на сервер, неизвестные файлы в корне сайта, новые пользователи с правами администратора, изменённая дата модификации у файлов, которые вы не трогали.

Третья группа — реакция внешних сервисов. В Яндекс Вебмастере (раздел «Безопасность и нарушения») и в Google Search Console (раздел «Проблемы безопасности») могут появиться сообщения об обнаруженных угрозах. Браузеры и поисковики способны показывать предупреждение «Сайт может угрожать безопасности вашего компьютера», а в выдаче рядом с сайтом появляется соответствующая пометка. Резкие провалы и подозрительные скачки видны и в Яндекс Метрике с Google Analytics.

Откуда берётся вирус на сайте

Почти никогда сайт не «подхватывает» вирус случайно. За заражением стоит конкретная уязвимость, и пока её не закроют, лечение будет временным.

Самые частые причины: устаревшие версии CMS, тем и плагинов с известными дырами, использование «взломанных» шаблонов и плагинов из непроверенных источников (в них нередко заранее зашит вредоносный код), слабые или повторяющиеся пароли к админке, FTP и хостингу. Также опасны заражённый компьютер администратора, с которого утекают сохранённые пароли FTP, и общий хостинг без изоляции аккаунтов: если соседний сайт взломали, угроза может перейти и на ваш.

Отдельная история — формы загрузки файлов без проверки типа и размера, открытые для записи каталоги и права доступа 777. Через такие места атакующие загружают веб-шеллы и получают полный контроль над сайтом.

Первые действия при обнаружении вируса

Главное правило — не паниковать и не удалять всё подряд. Хаотичные действия могут уничтожить следы взлома и осложнить поиск уязвимости, а некоторые «лекарства» способны сломать сайт ещё сильнее.

Сначала нужно остановить распространение угрозы: включить режим обслуживания или закрыть сайт на время работ, чтобы посетители не пострадали, а поисковики не зафиксировали новые нарушения. Затем обязательно сделайте полную копию файлов и базы данных в текущем, заражённом состоянии. Она пригодится, чтобы разобраться в причинах и найти точку входа. И только после этого переходите к чистке по плану.

Как заражение влияет на поисковую выдачу

Поисковые системы заинтересованы в безопасности пользователей, поэтому реагируют на вредоносный код жёстко. Яндекс и Google могут пометить сайт предупреждением в выдаче, понизить его позиции, а в тяжёлых случаях убрать страницы из результатов. Браузеры при этом показывают красный экран-предупреждение, и до большинства посетителей вы просто не достучитесь.

Особенно неприятен SEO-спам: в индекс попадает множество страниц, которых вы не создавали, а сайт начинает ассоциироваться с чужой тематикой. После чистки эти страницы нужно удалить с сервера (сделать им ответ 404 или 410), обновить sitemap и при необходимости воспользоваться инструментами удаления URL в Яндекс Вебмастере и Search Console.

Перепроверка запускается вручную, и важно не торопиться: если отправить запрос, пока на сайте остаётся хотя бы один заражённый файл или бэкдор, проверка не будет пройдена, а следующий запрос придётся ждать дольше.

Почему лечение часто не помогает

Многие владельцы сайтов сталкиваются с ситуацией: вирус удалили, а через пару дней он вернулся. Причина почти всегда одна — осталась лазейка. Ниже собраны самые распространённые ошибки, которые приводят к повторному заражению.

Профилактика: как не допустить повторного заражения

Безопасность сайта — не разовая акция, а постоянная гигиена. Взломы массовые, и чаще всего атакуют не конкретный бизнес, а любые сайты с известной уязвимостью. Поэтому защитой стоит заниматься заранее: она обходится в разы дешевле, чем срочное лечение и восстановление позиций.

Начните с базовых вещей: обновления, сильные пароли, резервные копии. Затем добавьте мониторинг: уведомления Яндекс Вебмастера и Google Search Console о проблемах безопасности, антивирусное сканирование на стороне хостинга и контроль изменений файлов.

Что проверить после лечения

Когда вирус удалён, а запросы на перепроверку отправлены, работа ещё не закончена. Нужно убедиться, что сайт действительно чист и стабильно работает, а поисковики и пользователи вернулись. Для этого пройдитесь по короткому чек-листу и вернитесь к нему через неделю и через месяц.