Удаление вредоносного кода с сайта: пошаговая инструкция

Признаки того, что сайт заражён

Заражение редко выглядит как очевидный «взлом» с надписью на главной странице. Чаще всего вредоносный код работает скрытно и годами использует ресурсы сайта в чужих целях. Поэтому важно знать косвенные симптомы.

Самые частые из них: посетители жалуются, что их перекидывает на сайты с рекламой или казино; в выдаче Яндекса и Google появляются страницы с чужим текстом, которых вы не создавали; браузер показывает красное предупреждение при заходе на сайт; хостинг присылает письма о подозрительной активности, рассылке спама или резком росте нагрузки на процессор.

Отдельно обратите внимание на статистику. Если в Яндекс Метрике или Google Analytics внезапно вырос трафик из непонятных источников, увеличились отказы или, наоборот, просел органический трафик, — это повод немедленно проверить сайт. Не ждите, пока проблему заметят клиенты.

Откуда берётся вредоносный код

Понимание причин помогает не только вылечить сайт, но и не допустить повторного заражения. В большинстве случаев вредоносный код попадает на сайт через несколько типовых «дверей».

Первая — устаревшая CMS и плагины. Хакерские боты автоматически сканируют интернет в поисках сайтов с известными уязвимостями, и чем дольше вы не обновляете движок, тем выше риск. Вторая — «взломанные» (нулленные) темы и плагины, в которые вирус встроен изначально. Третья — слабые пароли от админки, FTP, хостинга и базы данных, а также заражённый компьютер администратора, с которого утекли сохранённые пароли.

Ещё один частый сценарий — общий хостинг с плохой изоляцией аккаунтов: когда заражён соседний сайт, вирус может перекинуться и на ваш. Именно поэтому после очистки так важно проверить не только файлы, но и все точки доступа.

Подготовка: изолируйте сайт и сделайте копию

Прежде чем что-то удалять, остановите ущерб. Если сайт рассылает спам или перенаправляет посетителей, включите режим обслуживания или временно закройте его через .htaccess по IP, оставив доступ только себе. Это защитит пользователей и сохранит репутацию домена в Яндексе и Google.

Затем обязательно сделайте полную резервную копию — файлов и базы данных, даже заражённых. Это страховка: при неудачной очистке вы сможете вернуться к исходному состоянию и сравнить версии. Копию храните отдельно от сайта, например на локальном компьютере.

Также сразу смените пароли — от хостинга, FTP/SSH, панели управления, базы данных и админки CMS. Делать это нужно с чистого устройства, проверенного антивирусом, иначе новые пароли тоже окажутся скомпрометированными.

Что именно искать в файлах и базе данных

Вредоносный код редко выглядит как явный вирус: хакеры маскируют его под служебные вставки и зашифровывают, чтобы сканеры и глаз не заметили подвоха. Чаще всего это длинные строки с непонятными символами, функции кодирования и выполнения строк как кода.

В PHP-файлах стоит насторожиться при виде eval, base64_decode, gzinflate, str_rot13, а также системных функций вроде system, shell_exec и passthru. В JavaScript и HTML подозрительны скрытые iframe, загрузка скриптов с незнакомых доменов и document.write с экранированными строками.

Отдельное внимание — .htaccess, где часто прописывают редиректы только для посетителей из поисковых систем (владелец заходит напрямую и ничего не замечает), и таблицы базы данных с настройками и постами. Здесь вирус любит прятаться в опциях темы, виджетах и содержимом записей.

Почему одной «чистки» недостаточно

Самая коварная особенность вредоносного кода — он редко живёт в одном месте. Злоумышленники оставляют несколько копий: основной вирус, резервный бэкдор в папке с картинками, задание в планировщике, которое через час восстановит удалённое. Если вы вычистили только то, что показал сканер, заражение вернётся.

Поэтому после удаления нужно проверить сайт ещё раз спустя сутки и через неделю, посмотреть логи доступа на предмет обращений к подозрительным файлам, а также пересмотреть права на папки и список пользователей в CMS. Только когда причина заражения найдена и устранена, можно считать работу завершённой.

Как вернуть доверие поисковых систем

Когда сайт очищен, нужно сообщить об этом поисковикам. В Яндекс Вебмастере откройте раздел «Безопасность и нарушения» и запросите перепроверку после исправления проблем. В Google Search Console то же самое делается в отчёте «Проблемы безопасности» — там есть кнопка запроса на проверку.

Проверка обычно занимает от нескольких дней: роботы заново обходят страницы, и если угроз не находят, предупреждения снимаются. Если пометка вернулась — значит, вредоносный код остался или появился снова, и вам нужно искать пропущенный бэкдор. Параллельно проверьте, не попали ли ваш домен или IP в публичные чёрные списки, и при необходимости подайте заявки на исключение.

После снятия санкций полезно проследить за динамикой в Яндекс Метрике и Google Analytics: органический трафик обычно восстанавливается постепенно, а не мгновенно.