WordPress może działać pozornie poprawnie, a mimo to zawierać złośliwy kod. Infekcja nie zawsze oznacza biały ekran czy całkowitą awarię strony. Czasem pierwszym sygnałem są dziwne przekierowania, spam w wynikach Google, nowi użytkownicy administratora albo nagły wzrost obciążenia serwera.
Jak sprawdzić, czy WordPress został zainfekowany? Najważniejsze jest połączenie kilku metod: kontroli plików, użytkowników, logów, bazy danych oraz zachowania strony.
Poniżej pokazujemy najczęstsze objawy infekcji WordPressa i wyjaśniamy, co warto sprawdzić przed rozpoczęciem naprawy.
Najczęstsze objawy zainfekowanego WordPressa
Nie każda infekcja wygląda tak samo. Złośliwe oprogramowanie może działać w tle przez długi czas, zanim właściciel strony zauważy problem.
Do najczęstszych sygnałów należą:
- przekierowania na obce strony,
- wyskakujące reklamy lub podejrzane komunikaty,
- nowe podstrony, których sam nie tworzyłeś,
- spam pojawiający się w Google,
- nieznani użytkownicy w panelu WordPress,
- zmienione pliki motywu lub wtyczek,
- problemy z wysyłką wiadomości e-mail,
- ostrzeżenia przeglądarki o niebezpiecznej stronie,
- nagły wzrost wykorzystania procesora lub pamięci,
- częste blokowanie konta hostingowego,
- powracające infekcje mimo wcześniejszego „czyszczenia”.
Pojedynczy objaw nie zawsze oznacza włamanie, ale kilka takich sygnałów jednocześnie powinno wzbudzić podejrzenia.
WordPress przekierowuje na inną stronę
Jednym z najbardziej charakterystycznych objawów infekcji są niechciane przekierowania.
Użytkownik wchodzi na Twoją stronę, ale zamiast właściwej treści zostaje przeniesiony np. do:
- podejrzanego sklepu,
- serwisu z reklamami,
- fałszywej strony logowania,
- strony z grami lub treściami dla dorosłych.
Co ważne, przekierowanie może nie występować za każdym razem.
Złośliwy kod może uruchamiać się tylko:
- na urządzeniach mobilnych,
- przy wejściu z Google,
- dla użytkowników niezalogowanych,
- raz na określony czas.
Dlatego właściciel strony może przez długi czas nie widzieć problemu.
Dziwne wyniki strony w Google
Kolejnym sygnałem jest pojawienie się w wynikach wyszukiwania podstron, których nigdy nie tworzyłeś.
Mogą dotyczyć np.:
- leków,
- kasyn,
- kryptowalut,
- fałszywych sklepów,
- treści spamowych.
Tego typu ataki często określane są jako SEO spam.
Haker może utworzyć setki lub tysiące automatycznych podstron, które będą widoczne dla Google, ale niekoniecznie od razu zauważalne dla właściciela witryny.
Jeżeli w Google pojawiają się nietypowe tytuły lub opisy Twojej strony, warto dokładnie sprawdzić WordPressa.
Nieznani administratorzy w WordPressie
Jedną z pierwszych rzeczy, które warto sprawdzić, jest lista użytkowników.
W WordPressie przejdź do:
Użytkownicy → Wszyscy użytkownicy
Sprawdź szczególnie konta z rolą:
Administrator
Jeżeli znajduje się tam konto, którego nie rozpoznajesz, może to oznaczać, że ktoś uzyskał dostęp do strony.
Nieznane konto administratora powinno być traktowane poważnie, ponieważ daje praktycznie pełną kontrolę nad WordPressem.
Samo usunięcie takiego użytkownika nie wystarczy. Trzeba ustalić, w jaki sposób konto zostało utworzone i czy na stronie nie znajduje się dodatkowy backdoor.
Podejrzane pliki na serwerze
Infekcje WordPressa bardzo często polegają na dodaniu lub zmodyfikowaniu plików.
Szczególną uwagę powinny zwrócić:
- pliki PHP w katalogu
/uploads/, - nieznane pliki w katalogu głównym WordPressa,
- zmodyfikowane pliki motywu,
- nieznane wtyczki,
- pliki o losowych nazwach,
- kod znajdujący się na początku lub końcu standardowych plików.
Często spotyka się również fragmenty kodu zapisane w sposób utrudniający ich odczytanie.
Nie należy jednak usuwać każdego nietypowego pliku bez sprawdzenia.
Wtyczki, integracje i własne rozwiązania mogą również tworzyć niestandardowe pliki.
Czy pliki WordPressa można porównać z oryginalnymi?
Tak.
Pliki samego WordPressa można porównać z plikami oficjalnej wersji systemu.
Jeżeli standardowy plik WordPressa został zmodyfikowany, warto sprawdzić, dlaczego tak się stało.
Trzeba jednak pamiętać, że infekcja może znajdować się również poza plikami rdzenia, np. w:
- wtyczkach,
- motywie,
- katalogu uploads,
- bazie danych.
Dlatego samo sprawdzenie plików WordPressa nie daje pełnej gwarancji bezpieczeństwa.
Infekcja może znajdować się w bazie danych
Złośliwy kod nie zawsze zapisuje się w plikach.
Może zostać dodany również do bazy danych WordPressa.
Warto sprawdzić między innymi:
- treści wpisów i stron,
- widżety,
- ustawienia WordPressa,
- opcje w tabeli
wp_options, - dane wtyczek,
- konta użytkowników.
Infekcje zapisane w bazie mogą powodować np. przekierowania lub wstrzykiwanie reklam bez obecności oczywistego podejrzanego pliku.
Sprawdź logi serwera
Logi serwera mogą dostarczyć bardzo dużo informacji o źródle problemu.
Warto przeanalizować:
- logi błędów PHP,
- logi dostępu,
- historię logowań,
- podejrzane żądania,
- wykonywanie nietypowych plików PHP.
Dzięki logom czasami można ustalić nie tylko, co zostało zainfekowane, ale również w jaki sposób napastnik dostał się do strony.
Może to być np.:
- podatna wtyczka,
- stare hasło,
- nieaktualny WordPress,
- zainfekowane konto FTP,
- luka w niestandardowym kodzie.
Czy wtyczka bezpieczeństwa wykryje każdą infekcję?
Nie.
Wtyczki bezpieczeństwa są pomocne i potrafią wykrywać wiele popularnych zagrożeń, ale nie powinny być jedyną metodą diagnostyki.
Niektóre infekcje mogą:
- ukrywać kod,
- modyfikować działanie skanera,
- znajdować się w bazie danych,
- działać tylko w określonych warunkach,
- tworzyć własne mechanizmy ponownego infekowania strony.
Dlatego komunikat „brak zagrożeń” nie zawsze oznacza, że witryna jest całkowicie czysta.
Google ostrzega, że strona jest niebezpieczna
Jeżeli przeglądarka lub Google wyświetla ostrzeżenie o niebezpiecznej witrynie, problemu nie należy ignorować.
Taki komunikat może oznaczać, że na stronie wykryto np.:
- złośliwy kod,
- phishing,
- niebezpieczne pliki,
- spam,
- podejrzane przekierowania.
Po usunięciu infekcji samo ostrzeżenie może nie zniknąć natychmiast.
Najpierw trzeba upewnić się, że strona została całkowicie oczyszczona, a następnie zgłosić ją do ponownej weryfikacji.
Nagły wzrost obciążenia hostingu
Zainfekowany WordPress może również powodować bardzo duże zużycie zasobów serwera.
Objawem może być:
- wolniejsze działanie strony,
- błędy 500,
- przekroczone limity procesora,
- duża liczba procesów PHP,
- nietypowy ruch sieciowy.
Złośliwy kod może wykorzystywać serwer np. do:
- wysyłania spamu,
- wykonywania automatycznych zapytań,
- atakowania innych stron,
- generowania spamowych podstron.
Dlatego niespodziewane zwiększenie wykorzystania zasobów również warto zbadać.
Co zrobić, gdy podejrzewasz infekcję WordPressa?
Najważniejsze jest, żeby nie wykonywać przypadkowych zmian.
1. Wykonaj kopię strony
Przed rozpoczęciem czyszczenia warto wykonać kopię:
- plików,
- bazy danych.
Nawet jeśli kopia zawiera infekcję, może później pomóc w analizie problemu lub odzyskaniu potrzebnych danych.
2. Ogranicz skutki infekcji
Jeżeli strona przekierowuje użytkowników, wyświetla złośliwe treści albo stanowi zagrożenie, warto czasowo ograniczyć jej dostępność.
W sklepie internetowym trzeba jednak uważać, aby nie utracić nowych zamówień i danych.
3. Sprawdź użytkowników i dostęp
Należy zweryfikować:
- administratorów WordPressa,
- konta FTP,
- konta hostingowe,
- dostęp do bazy danych.
Nieznane konta powinny zostać dokładnie sprawdzone.
4. Znajdź źródło infekcji
To jeden z najważniejszych etapów.
Samo usunięcie złośliwego pliku nie wystarczy, jeżeli na stronie nadal znajduje się podatna wtyczka albo pozostawiony backdoor.
5. Usuń złośliwy kod
Należy oczyścić:
- pliki,
- bazę danych,
- użytkowników,
- zadania automatyczne,
- niebezpieczne integracje.
6. Zaktualizuj stronę
Po oczyszczeniu warto zaktualizować:
- WordPress,
- wtyczki,
- motyw.
Nieużywane elementy najlepiej całkowicie usunąć.
7. Zmień hasła
Po oczyszczeniu strony należy zmienić hasła m.in. do:
- WordPressa,
- hostingu,
- FTP/SFTP,
- bazy danych, jeśli sytuacja tego wymaga.
Warto również włączyć uwierzytelnianie dwuskładnikowe tam, gdzie jest dostępne.
Dlaczego infekcja WordPressa czasem wraca?
To częsty problem.
Strona zostaje „oczyszczona”, a po kilku dniach infekcja pojawia się ponownie.
Najczęściej oznacza to, że nie usunięto przyczyny problemu.
Na serwerze mógł pozostać:
- backdoor,
- podatna wtyczka,
- zainfekowany plik,
- nieznane konto administratora,
- złośliwy kod w bazie.
Dlatego skuteczne odwirusowanie powinno obejmować nie tylko usunięcie widocznych objawów, ale również znalezienie źródła włamania.
Czy warto od razu przywracać backup?
Nie zawsze.
Jeżeli masz pewną kopię wykonaną przed infekcją, może ona znacząco ułatwić odzyskanie strony.
Problem polega na tym, że czas włamania nie zawsze jest znany.
Kopia sprzed kilku dni może już zawierać złośliwy kod.
W przypadku WooCommerce dodatkowo trzeba uważać na:
- nowe zamówienia,
- dane klientów,
- zmiany stanów magazynowych,
- płatności.
Przywrócenie całej starej bazy może spowodować utratę aktualnych danych.
Jak zabezpieczyć WordPressa po infekcji?
Po usunięciu problemu warto wdrożyć dodatkowe zabezpieczenia.
Najważniejsze z nich to:
- regularne aktualizacje,
- automatyczne kopie zapasowe,
- monitoring strony,
- silne i unikalne hasła,
- uwierzytelnianie dwuskładnikowe,
- usunięcie nieużywanych wtyczek,
- ograniczenie liczby administratorów,
- aktualna wersja PHP,
- regularna kontrola logów i bezpieczeństwa.
Warto również sprawdzić, czy wszystkie wykorzystywane wtyczki są nadal rozwijane przez ich autorów.
Podejrzewasz infekcję WordPressa?
Jeżeli na stronie pojawiają się dziwne przekierowania, spam, nieznane pliki albo nowe konta administratora, nie warto ograniczać się do usuwania pojedynczych objawów.
Najpierw trzeba ustalić, co zostało zainfekowane i w jaki sposób doszło do włamania.
W Still IT zajmujemy się odwirusowaniem WordPressa, usuwaniem złośliwego kodu oraz zabezpieczaniem stron po infekcji.