Usunięcie wirusa to połowa roboty. Druga to zamknięcie luki

Znany scenariusz: strona zainfekowana, ktoś (Ty, informatyk, wtyczka) usuwa podejrzane pliki, wszystko działa. Tydzień później — znowu przekierowania, znowu spam, czasem znowu ostrzeżenie Google. I tak w kółko, co kilka dni.

To nie pech i nie „wyjątkowo uparty wirus”. To normalny efekt czyszczenia strony bez zamknięcia drogi, którą malware wszedł. Sprzątanie przy otwartych drzwiach: podłoga chwilę jest czysta, ale błoto naniesie się z powrotem.

Dlaczego infekcja wraca

Po udanym włamaniu pierwszą rzeczą, jaką robi napastnik, wcale nie jest szkodzenie. Jest nią zabezpieczenie sobie powrotu. Zanim zauważysz jakiekolwiek objawy, na stronie zwykle są już:

• backdoory — małe pliki PHP porozrzucane po katalogach (ulubione miejsca: wp-content/uploads/, katalogi nieużywanych motywów, główny katalog z nazwą udającą systemowy plik). Jeden widoczny, dwa schowane;
• doklejony kod w legalnych plikach — na końcu functions.php motywu, w wp-config.php, w plikach wtyczek. Plik jest „prawdziwy”, więc nie wygląda podejrzanie;
• konto administratora w bazie — nawet po usunięciu wszystkich plików włamywacz loguje się normalnie i instaluje malware od nowa;
• wpisy w cronie WordPressa — zaplanowane zadanie, które co jakiś czas pobiera i odtwarza zainfekowane pliki. Strona czysta o 14:00 potrafi być brudna o 14:15 bez niczyjego udziału;
• oryginalna luka — stara wtyczka albo słabe hasło, przez które weszli za pierwszym razem. Nawet po wyczyszczeniu całej reszty wystarczy botowi wejść tą samą dziurą jeszcze raz.

Usunięcie plików, które „wyglądają na wirusa”, likwiduje zwykle jeden punkt z tej listy. Pozostałe cztery czekają.

Jak wygląda czyszczenie, które się nie cofa

Kolejność ma znaczenie — i zaczyna się od ustalenia, nie od kasowania:

1. Ustal wektor wejścia. Logi serwera i daty modyfikacji plików zwykle pokazują, co się wydarzyło i kiedy. Bez tej wiedzy zamykanie luki jest zgadywaniem.
2. Wymień pliki hurtowo, nie punktowo. Rdzeń WordPressa i wtyczki nadpisuje się świeżymi paczkami z wordpress.org — wtedy nie trzeba zgadywać, który plik jest doklejony. Ręcznego przejrzenia wymagają tylko motyw (jeśli modyfikowany), wp-config.php, .htaccess i zawartość uploads.
3. Przeszukaj bazę danych — wstrzyknięte skrypty w treści wpisów, obce konta, podejrzane wpisy w tabeli opcji i zaplanowanych zadaniach.
4. Zamknij lukę: aktualizacje wszystkiego, wymiana wszystkich haseł (panel, FTP, hosting, baza — po włamaniu każde z nich traktuje się jako spalone), usunięcie nieużywanych wtyczek i motywów.
5. Obserwuj przez dwa tygodnie. Nawrót w ciągu kilku dni oznacza przeoczony backdoor — i powrót do punktu 1.

Jeśli masz czysty i przetestowany backup sprzed infekcji, może zastąpić punkty 2–3 — ale punkt 4 pozostaje obowiązkowy, bo backup przywraca również oryginalną lukę. I przywracaj z głową, nie w panice.

Ile to zajmuje

Rzetelne czyszczenie z zamknięciem luki to u nas zwykle 2–4 godziny. Domowe czyszczenie objawowe zajmuje 30 minut — powtarzane co tydzień przez dwa miesiące. Ta arytmetyka to najczęstszy powód, dla którego klienci trafiają do nas po trzecim nawrocie, a nie po pierwszym.

---

Infekcja wraca jak bumerang? Usuwanie wirusów z WordPressa — czyszczenie razem ze znalezieniem i zamknięciem luki, bezpłatna diagnoza, płatność po wykonaniu.