Usuwanie wirusów i malware
Włamanie na WordPressa rzadko wygląda jak w filmach. Znacznie częściej strona po prostu zaczyna przekierowywać na jakąś aptekę, w Google pojawiają się podstrony, których nigdy nie napisałeś, a hosting przysyła maila o wysyłce spamu. To ten moment, w którym trzeba działać szybko.
- Reakcja do 2 godzin w godzinach pracy
- Wszystko zdalnie — cała Polska i Europa
- Wycena przed startem, płatność po wykonaniu
Najważniejsze do zrozumienia: infekcja to prawie nigdy nie jest jeden plik. Typowy scenariusz to backdoor w katalogu wtyczki, podmieniony plik rdzenia, dopisany kod w bazie danych, ukryte konto administratora i zadanie cron, które przywraca wszystko po tygodniu. Dlatego skan darmową wtyczką i usunięcie tego, co pokaże, kończy się drugim włamaniem — tym razem z pretensją do siebie.
Robimy to inaczej: porównujemy pliki z czystym rdzeniem WordPressa i oryginalnymi paczkami wtyczek, przeglądamy bazę, a potem wchodzimy w logi hostingu, żeby ustalić, kiedy i czym weszli. Bez tego ostatniego kroku czyszczenie jest tylko odkładaniem problemu.
Objawy, które trudno zignorować
Jeśli rozpoznajesz cokolwiek z tej listy, strona jest najprawdopodobniej zainfekowana, a nie „dziwnie się zachowuje":
- Przekierowania — wejście z telefonu albo z Google prowadzi na obcy adres, a z komputera wszystko wygląda normalnie.
- Obce podstrony w Google — wpisz w wyszukiwarce
site:twojadomena.pli sprawdź, czy nie ma tam japońskich znaków albo nazw leków. - Ostrzeżenie przeglądarki — czerwony ekran „Strona wprowadzająca w błąd" zabija ruch praktycznie do zera.
- Poczta od hostingu — informacja o wysyłce spamu albo o przekroczeniu limitów przez procesy PHP.
- Nowi administratorzy — w panelu jest konto, którego nie zakładałeś, często z adresem na jednorazowej domenie.
- Dziwne pliki — losowe nazwy w
wp-content/uploads, katalogu, w którym nie ma prawa być żadnego PHP.
Jak czyścimy — trzy etapy
Kolejność nie jest przypadkowa. Zabezpieczenie bez wcześniejszego znalezienia wektora wejścia to zamykanie okna, gdy drzwi są otwarte:
- Diagnoza — skan plików i bazy, porównanie z oryginałami, przegląd zadań cron i logów serwera. Na koniec wiemy, czym weszli i co dokładnie ruszyli.
- Czyszczenie — usunięcie malware, backdoorów, wstrzykniętego kodu z bazy, fałszywych kont i spamowych wpisów. Naprawa uszkodzonych plików rdzenia.
- Zabezpieczenie — łatanie luki, wymiana haseł i kluczy w
wp-config.php, wyłączenie edytora plików w panelu, konfiguracja firewalla i monitoringu.
Zdjęcie ostrzeżenia z Google i list ostrzeżeń
Wyczyszczona strona to połowa sprawy — druga to odzyskanie zaufania wyszukiwarki. Zgłaszamy stronę do ponownego sprawdzenia w Google Search Console (sekcja „Problemy z bezpieczeństwem"), a jeśli domena wpadła na listy antyspamowe, pomagamy złożyć wniosek o wypis. Google zwykle zdejmuje ostrzeżenie w ciągu 1–3 dni od zgłoszenia, o ile faktycznie nie znajdzie już nic podejrzanego — i to jest właśnie powód, dla którego nie robimy czyszczenia na pół gwizdka.
Czyszczenie typowej infekcji to 2–4 godziny. Rozliczamy je godzinowo po 120 zł netto albo w pakiecie pogotowia „Po włamaniu" za stałe 690 zł netto — jak wolisz.
Z czym najczęściej do nas trafia?
Jeśli rozpoznajesz u siebie któryś z tych objawów — odezwij się, znamy je na pamięć.
strona przekierowuje na obcy adres
w Google widać podstrony, których nie tworzyłeś
czerwone ostrzeżenie w przeglądarce
hosting zgłasza wysyłkę spamu z Twojego konta
w panelu pojawiło się obce konto administratora
pliki PHP w katalogu uploads
infekcja wróciła po wcześniejszym „wyczyszczeniu"
Najczęstsze pytania
Czy wystarczy wtyczka typu Wordfence albo Sucuri?
Do wykrycia — często tak. Do wyczyszczenia — rzadko. Skanery świetnie znajdują znane sygnatury, ale nie odnajdują świeżo zaciemnionego kodu, nie ruszają wstrzyknięć w bazie i przede wszystkim nie odpowiadają na pytanie, którędy ktoś wszedł. Bez tej odpowiedzi infekcja wraca.
Ile trwa czyszczenie?
Typowo 2–4 godziny, zależnie od skali infekcji i wielkości strony. Sklepy WooCommerce z tysiącami wpisów w bazie zajmują dłużej. Konkretny czas podajemy po diagnozie, zanim zaczniemy.
Czy stracę treści ze strony?
Nie, celem jest usunięcie obcego kodu przy zachowaniu Twoich treści. Zaczynamy od pełnej kopii zapasowej — także zainfekowanej wersji, bo bywa potrzebna do porównań. Odbudowa z backupu to plan awaryjny, nie domyślny.
Skąd wiadomo, że infekcja nie wróci?
Bo zamykamy wektor wejścia, a nie tylko usuwamy skutki. Najczęściej jest to nieaktualna wtyczka ze znaną luką albo słabe hasło administratora. Do tego wymieniamy klucze uwierzytelniające i konfigurujemy monitoring, który zgłasza zmiany w plikach. Jeśli chcesz mieć to pod stałą obserwacją, sensowniejsza jest opieka abonamentowa.
Masz taką sytuację u siebie?
Diagnoza i wstępna wycena bezpłatne. Płacisz dopiero po wykonaniu — napisz albo zadzwoń, odpowiadamy do 2 godzin.