Bezpieczeństwo
Skaner malware dla WordPressa — co wykrywa, a czego nie
Skaner pokazuje zero zagrożeń, a Google dalej ostrzega przed stroną? Co skanery malware naprawdę sprawdzają i kiedy czysty wynik nic nie znaczy.
Dwie skrajne sytuacje, obie z naszej praktyki. Pierwsza: skaner alarmuje o „krytycznym zagrożeniu”, które okazuje się zmodyfikowaną stopką motywu — fałszywy alarm, zmarnowany wieczór. Druga, gorsza: skaner tygodniami pokazuje zielone „0 zagrożeń”, podczas gdy Google wyrzuca stronę z wyników za malware.
Skanery są pożyteczne. Ale żeby z nich korzystać, trzeba wiedzieć, jak działają — bo ani ich alarm, ani ich zielona kropka nie znaczą tego, co się ludziom wydaje.
Jak działa skaner — trzy metody
Porównanie z wzorcem. Najpewniejsza metoda: skaner porównuje pliki rdzenia WordPressa (i wtyczek z oficjalnego katalogu) z oryginalnymi paczkami z wordpress.org. Każda różnica jest widoczna od razu. Działa świetnie — ale tylko tam, gdzie istnieje wzorzec.
Sygnatury. Skaner szuka w plikach znanych fragmentów złośliwego kodu — jak antywirus na komputerze. Wykrywa masowe, powszechne infekcje. Nie wykrywa niczego, czego nie ma w bazie: świeżych wariantów, kodu pisanego pod konkretny atak, malware zaciemnionego na tyle, żeby nie pasował do wzorca.
Heurystyka. Szukanie podejrzanych konstrukcji w kodzie (eval, base64_decode i podobne). Stąd biorą się fałszywe alarmy — te same konstrukcje bywają w legalnych wtyczkach.
Czego skaner nie widzi
I tu jest sedno. Typowy skaner-wtyczka nie widzi:
- własnego środowiska poza wzorcem — modyfikowany motyw, wtyczki premium spoza katalogu, własny kod: tu nie ma z czym porównywać, więc doklejony fragment nie wyróżnia się niczym;
- bazy danych — większość skanerów w ogóle jej nie dotyka albo sprawdza pobieżnie, a tam siedzą wstrzyknięte skrypty w treściach i fałszywe konta administratora;
- malware, które go wyłączyło. Skaner to wtyczka działająca wewnątrz zainfekowanego systemu. Sprawniejsze infekcje po prostu dopisują swoje pliki do listy wyjątków skanera albo wyłączają go po cichu. Zielony wynik od strażnika, którego związano — tyle to znaczy;
- treści serwowanych warunkowo — spam pokazywany tylko robotowi Google i przekierowania tylko dla ruchu z wyszukiwarki są niewidoczne od środka; dlatego warto raz na jakiś czas spojrzeć na stronę oczami Google (
site:twojadomena.pl); - przyczyny infekcji. Skaner w najlepszym razie mówi „co”. Nie mówi „którędy” — a bez zamknięcia luki wyczyszczone wraca.
Czy w takim razie skaner ma sens
Ma — jako system wczesnego ostrzegania, nie jako sędzia. Praktyczne zasady:
- Alarm skanera traktuj poważnie, zielony wynik ostrożnie. Wykrycie infekcji jest niemal zawsze prawdziwe (fałszywe alarmy dotyczą zwykle pojedynczych plików, nie werdyktu „strona zainfekowana”). Wynik „czysto” mówi tylko tyle, że nie znaleziono znanych wzorców.
- Wystarczy jeden skaner. Dwie wtyczki bezpieczeństwa naraz to konflikty i obciążenie, nie podwójna ochrona.
- Skaner nie zastępuje podstaw: aktualizacji, mocnych haseł i sprawdzonej kopii zapasowej. Zamek w drzwiach, nie alarm, decyduje o tym, czy ktoś wejdzie.
- Przy realnym podejrzeniu włamania — objawach widocznych mimo czystego skanu — nie skanuj trzecim narzędziem „dla pewności”, tylko działaj według procedury. Ręczne porównanie plików z wzorcami i przegląd bazy znajdują to, co skaner przeoczył.
Instalacja i pierwszy pełny skan to 15–30 minut. Interpretacja wyników przy realnej infekcji — tu zaczyna się praca ręczna.
Wolisz, żeby ktoś patrzył na stronę regularnie, a nie raz po awarii? Opieka nad stroną od 149 zł netto miesięcznie: aktualizacje, kopie zapasowe, całodobowy monitoring i reakcja człowieka, gdy coś wygląda podejrzanie.