Удаление вирусов
с сайта в Казани

Не всегда. Во многих случаях достаточно изолированных сред или снапшотов. Если прямой доступ необходим, согласуем все так, чтобы минимизировать риски и простой.

Мы настраиваем очистку так, чтобы этого не произошло. Специально проверяем механизмы закрепления и закрываем точки входа. Если все же вернется — разбираемся бесплатно.

Да — очистку можно включить в общий аудит системы, сканирование уязвимостей или обзор инфраструктуры. Просто скажите, что входит в объем работ.

Зависит от срочности и доступа к системе. Для критических случаев работаем в день обращения, для менее срочных — по структурированному плану.

Это файл, который даёт злоумышленнику управление сайтом через браузер. Через него загружают новые файлы, читают базу, меняют содержимое. Один оставленный веб-шелл обнуляет всю чистку.

По характерным вызовам исполнения кода и по работе с загруженными данными. Плюс по датам изменения и по файлам в каталогах, где исполняемого кода быть не должно. Ищем по всему дереву, не только в теме.

Значит остался бэкдор. Это может быть второй файл, задача по расписанию, лишний администратор в базе или строка в файле настроек. Возврат — признак неполной чистки, а не нового взлома.

В задачах по расписанию на сервере, в автозагружаемых настройках базы, в правилах веб-сервера и в файлах, которые выглядят как системные. Проверяем все четыре места.

Сверяем с тем, кого знает заказчик. Лишние учётные записи удаляем, остальным меняем пароли. Смотрим и дату создания: администратор, созданный в день заражения, говорит сам за себя.

Запрещаем исполнение кода в этом каталоге на уровне сервера. Картинки останутся картинками, а подброшенный скрипт перестанет запускаться. Это одна настройка, и она снимает целый класс атак.

Помогает против правок в самом ядре и делается всегда. Но веб-шелл чаще лежит вне ядра, в теме или загрузках, и переустановка его не тронет. Она один из шагов, а не вся работа.

Нужно. Если у злоумышленника был файл настроек, у него есть и пароль базы. Меняем его и пароль хостинга, обновляем ключи шифрования сессий, чтобы разлогинить всех, включая чужих.

Три признака: сканирование файлов и базы чисто, список пользователей и задач совпадает с ожидаемым, за две недели наблюдения новых изменений нет. Третий признак самый надёжный.

Тогда откат не спасает, и лечим текущее состояние. Копии всё равно сохраняем: по ним видно, когда заражение появилось. Дальше настраиваем копирование так, чтобы глубина хранения перекрывала месяц.

По трём вопросам: будут ли искать путь входа, что войдёт в отчёт и что делается против повтора. Если отвечают только «почистим сканером», повтор будет.

Сканер видит известные образцы. Свежую или самописную вставку он пропускает, а веб-шелл в загрузках часто не считает угрозой. Сканер полезен как один из шагов.

Потому что нельзя проверить, что сделано, и нельзя закрыть вход. Через месяц история повторяется, и разбираться придётся заново с нуля. Отчёт — часть работы, а не бонус.

Путь входа, список удалённого, что обновлено, какие доступы сменены и какие меры закрыли повтор. Плюс то, что надо держать обновлённым дальше. Пять пунктов, все проверяемые.

Можно, если он знает платформу и понимает, где искать повторный вход. Типичная ошибка своими силами — почистить видимое и не проверить задачи по расписанию и базу.

Простой случай с доступом — день. Старое заражение с базой — до нескольких дней. Обещание «за час» чаще всего означает чистку видимого без поиска входа.

Гарантируем, что найденные входы закрыты и описаны в отчёте. Полного отсутствия риска в этой области не обещаем, и никто честно не обещает: новые уязвимости выходят каждую неделю.

Значит вход не нашли. Начинаем с поиска пути, а не с повторной чистки. Смотрим, что делали до нас: список работ прежнего подрядчика сокращает нашу часть.

Берёмся, разовое лечение это нормальный заказ. По итогам показываем, что надо делать дальше, и вы решаете, брать ли сопровождение. Навязывать его в момент инцидента неправильно.

Скажем прямо и разделим: что относится к инциденту, а что к общему состоянию сайта. Смешивать это в один счёт нельзя, иначе лечение превращается в бесконечную доработку.

Каталоги на чтение и переход, файлы на чтение. Запись только там, где сайт реально пишет: загрузки, кеш, временные файлы. Всё остальное на запись закрыто.

Вставка в существующий файл становится невозможной. Это отсекает большую часть автоматических заражений. Обновления делаются через панель или с временным открытием прав.

Потому что это разрешает записать что угодно куда угодно. Такие права встречаются как быстрое решение проблемы с загрузкой файлов. Плата за удобство — полный доступ при первой же уязвимости.

Запретить в нём исполнение кода на уровне веб-сервера. Картинки останутся картинками, подброшенный скрипт перестанет запускаться. Одна настройка, и она снимает целый класс атак.

В каталогах кеша и временных файлов. Всюду, куда сайт пишет сам. Проверяем полный список таких мест, потому что забытый один равен незакрытому входу.

Права только на чтение владельцем. В нём пароль базы и ключи. Открытый на чтение всем файл настроек означает, что доступ к базе есть у любого процесса на сервере.

Где платформа это позволяет — да, полезно. Тогда он недоступен по прямому адресу даже при ошибке в настройках сервера.

Обходом дерева файлов с выводом прав. Отклонения от схемы видно сразу. Такую проверку делаем при приёме проекта и потом периодически.

Иногда да, обновление не может записать файл. Тогда права открываются на время обновления и закрываются после. Это часть окна плановых работ.

Только чтение. Правки темы делаются выкатом, а не редактором в админке. Редактор файлов в панели лучше отключить вовсе.

Потому что он превращает доступ администратора в возможность запустить любой код. Один утёкший пароль администратора без редактора даёт меньше, чем с ним.

Напрямую. Большинство заражений записывает файл. Если писать некуда, атака останавливается на этом шаге, даже когда уязвимость есть.

Часы на обычном сайте. Дольше там, где сайт писал куда попало и список мест приходится выяснять по ошибкам. Делается один раз.

Схема прав в документе по проекту. По ней проверяют состояние и восстанавливают его после любого переезда или обновления.