Восстановление сайта после взлома: пошаговый план

Как понять, что сайт действительно взломан

Не всякий сбой — это взлом, но у заражённых сайтов есть характерные симптомы. Самые очевидные видны сразу: посетители жалуются, что их перебрасывает на сайты с казино, ставками или «чудо-лекарствами», в браузере появляется красная страница с предупреждением, а хостинг присылает письмо о блокировке из-за рассылки спама или вредоносной активности.

Есть и скрытые признаки. В индексе вдруг появляются тысячи страниц, которые вы не создавали, часто с текстами на другом языке. Трафик резко проваливается или, наоборот, растёт по странным запросам. В админке обнаруживаются новые пользователи с правами администратора. В Яндекс Вебмастере в разделе «Безопасность и нарушения» и в Google Search Console в разделе «Проблемы безопасности» появляются уведомления о заражении.

Часто взлом остаётся незамеченным неделями, потому что вредоносный код показывает подмену только поисковым роботам или только гостям, пришедшим из выдачи. Сам владелец, зайдя на сайт напрямую, видит всё в порядке. Поэтому проверять сайт нужно и «глазами» поисковика, и по логам сервера.

Первые часы: не спешите всё удалять

Когда владелец видит взломанный сайт, первое желание — немедленно удалить подозрительные файлы или откатиться на старую копию. Это ошибка. Вместе с мусором вы потеряете улики: по датам изменения файлов и записям в логах можно определить, как именно злоумышленники попали на сервер. Без этого знания закрыть брешь не получится.

Правильная последовательность такая: сначала остановить ущерб, затем сохранить доказательства, потом лечить. Закройте сайт для посетителей, чтобы они не заражались и не уходили на фишинг. Сделайте полный снимок файлов и базы данных. Запросите у хостинга журналы доступа и ошибок. И только после этого переходите к очистке.

Где прячется вредоносный код

Опытные злоумышленники не оставляют на виду очевидных следов. Вместо этого они подкладывают бэкдоры — небольшие скрипты, которые позволяют вернуться на сайт даже после смены паролей. Такие файлы маскируют под системные: называют похоже на стандартные, прячут в глубоких папках плагинов, добавляют в начало легитимных файлов строки с закодированным содержимым.

Отдельный частый сценарий — заражение базы данных. В записях и настройках появляются внедрённые скрипты и iframe, которые подгружают рекламу или вирусы. Если вы вернёте только файлы, а базу не проверите, симптомы вернутся уже через несколько минут.

Ещё одна ловушка — задачи планировщика (cron) и «спящие» учётные записи. Даже после удаления всех файлов планировщик может по расписанию скачивать вредонос заново, а скрытый администратор — открывать дверь снова. Поэтому при очистке нужно смотреть не только на файлы, но и на всё, что запускается автоматически.

Три пути: откат, ручная чистка или переустановка

Выбор способа зависит от того, есть ли у вас чистая резервная копия, насколько сильно изменено ядро CMS и какие компетенции есть в команде. Универсального решения нет: быстрый откат из бэкапа подойдёт не всегда, а ручная чистка без опыта легко оставляет бэкдоры. Ниже — сравнение основных вариантов.

Как снять санкции Яндекса и Google

Очистить сайт — это половина дела. Вторая половина — убедить поисковые системы, что угроза устранена. Пока пометка об опасном сайте висит, часть пользователей просто не заходит на ресурс, а позиции продолжают падать.

В Яндекс Вебмастере откройте раздел «Безопасность и нарушения», убедитесь, что проблемы перечислены, и после исправления нажмите кнопку подтверждения для перепроверки. В Google Search Console перейдите в «Проблемы безопасности», изучите примеры заражённых адресов и отправьте запрос на проверку, описав, что именно вы исправили. Если вредоносный код найден повторно, запрос будет отклонён — придётся лечить сайт ещё раз.

Отдельно разберитесь со спам-страницами. Удалите их с сервера, чтобы они отдавали код 404 или 410, обновите карту сайта и воспользуйтесь инструментами удаления URL в Вебмастере и Search Console. Следите за графиком индексации и запросами в Яндекс Метрике и Google Analytics: по ним видно, как возвращается трафик и не появились ли странные источники переходов.

Профилактика дешевле лечения

Каждый взлом имеет причину. Чаще всего это устаревший плагин с известной уязвимостью, слабый или повторно используемый пароль, скомпрометированный компьютер администратора либо ненадёжный хостинг без изоляции аккаунтов. Автоматические боты сканируют интернет круглосуточно и подбирают сайты с известными дырами, поэтому «нас никто не будет взламывать, мы маленькие» — опасное заблуждение.

Хорошая новость в том, что основная защита строится на простых и недорогих мерах. Они не требуют команды безопасников, но требуют регулярности. Ниже — минимальный набор, который закрывает подавляющее большинство типовых сценариев.

Бэкапы: страховка, которая должна работать

Резервная копия бесполезна, если хранится там же, где и сайт. При взломе злоумышленники нередко удаляют или шифруют бэкапы на том же сервере. Поэтому копии надо хранить отдельно и периодически проверять, что из них действительно можно развернуть рабочий сайт.

Для большинства проектов хватает простого принципа, известного как правило «3-2-1». Оно не зависит от CMS и хостинга и защищает не только от взлома, но и от сбоя оборудования, ошибки администратора или удаления аккаунта.

Что отслеживать после восстановления

Первые две-четыре недели после лечения сайт стоит держать под наблюдением. Проверяйте журнал изменений файлов, список пользователей CMS и уведомления в Яндекс Вебмастере и Google Search Console. Если на сайте принимаются платежи или хранятся заявки клиентов, включите оповещения о новых входах в админку и подозрительных запросах.

Параллельно оценивайте динамику в Яндекс Метрике и Google Analytics: возврат трафика, исчезновение странных источников и рост доли целевых страниц в поиске говорят о том, что восстановление прошло успешно.