Сайт взломали: что делать в первый час — по шагам, без паники
Признаки взлома, что сделать немедленно, чего не делать ни в коем случае и почему удаление вирусного файла ничего не решает.
Понять, что сайт взломали, обычно удаётся не сразу: заражение старается быть незаметным. Посетителей с мобильных уводит на чужой сайт, в выдаче появились страницы про товары, которых у вас нет, хостер прислал письмо про рассылку спама, браузер показывает красное предупреждение. Любой из этих признаков — повод действовать сейчас, а не «после выходных»: каждый день заражения ухудшает позиции в поиске и репутацию домена.
Первый час: что сделать
Снять полную копию сайта и базы как есть, до любой чистки — она понадобится для расследования. Сменить пароли: хостинг, FTP/SSH, админка, база. Пароли меняются с чистого устройства — если заражён ваш компьютер, новые пароли утекут так же, как старые. Сообщить хостеру: у него есть логи и инструменты, а иногда и причина — заражение через соседний сайт на том же аккаунте. Записать хронологию: когда заметили, что меняли в последние недели, кому давали доступы.
Чего не делать
Не удалять найденные «вирусные файлы» по одному — вы уничтожаете улики, не устраняя причину. Не восстанавливаться из бэкапа как из единственного решения: копия недельной давности часто уже заражена, а главное — восстановление не закрывает дыру, через которую вошли. Через несколько дней всё повторится, только теперь без свежих логов. И не скрывать инцидент от подрядчика по поддержке, если он есть, — время здесь дороже неловкости.
Почему «удалить вирус» — не лечение
Вредоносный файл — следствие. Причина — точка входа: дырявый плагин, украденный пароль, уязвимая форма загрузки. Пока она открыта, чистка бессмысленна — заражение возвращается за дни. Настоящее лечение это найти по логам, как вошли, закрыть дыру, вычистить всё внедрённое, включая спрятанные бэкдоры, сменить все ключи и отправить сайт на перепроверку в поисковики. Это работа на день-три, и делать её лучше с холодной головой.
Подробно о том, как устроено лечение и снятие санкций поисковиков, — на странице восстановления сайта после взлома. Диагностику делаем в день обращения.