Лечение сайта
от вирусов
в Москве

Не удаляйте ничего сами и не просите просто снять блокировку. Запросите у хостинга отчёт: в нём почти всегда есть пути к найденным файлам и дата срабатывания — это готовая отправная точка для разбора. Дальше снимается копия сайта в том виде, в каком он заблокирован, и работа идёт по ней. Разблокировка без чистки заканчивается повторной блокировкой в течение суток, а иногда и блокировкой всего аккаунта.

Для лечения нужен доступ к файлам — SSH или хотя бы FTP — и к базе данных. Через админку видна лишь часть картины: вредоносный код чаще всего лежит в файлах, которых в интерфейсе нет вовсе, а часть заражений прячется выше корня сайта. Если доступ есть, но передавать его не хочется, мы работаем под отдельной учётной записью, которую вы отключаете сразу после окончания работ.

Чаще всего да. Ядро CMS, тема и расширения заменяются оригинальными файлами тех же версий — это и есть безопасная «переустановка», при которой контент, база и настройки остаются на месте. Полная пересборка нужна в другом случае: когда сайт годами правили прямо в ядре, эталона не существует и отличить свою правку от закладки нельзя. Такое мы говорим прямо до начала работ, а не в процессе.

Это типичный сценарий. На общем аккаунте сайты лежат в соседних папках под одним пользователем, и код, попавший в один из них, спокойно дописывается в остальные. Лечить по одному бесполезно: вычищенный сайт заражается заново от соседа через час. Мы разбираем весь аккаунт целиком, а после чистки предлагаем развести проекты по разным пользователям или площадкам, чтобы этой связи между ними больше не было.

Да, и это один из самых заметных, но не самых тяжёлых случаев. Подмена главной страницы. Чаще всего результат доступа к панели или к файлам, а не разрушения данных: сайт и база чаще всего целы. Порядок работ тот же. Копия, поиск точки входа, смена всех доступов, восстановление оригинальных файлов. Опаснее обратная ситуация, когда сайт выглядит нормально, а подмена показывается только поисковому роботу.

Да, полное отключение нужно редко. Чаще сайт на время работ переводится в режим, где посетители видят страницы и оформляют заказы, а изменение файлов запрещено — так чистка не мешает покупателям. Исключение одно: активный редирект на чужие страницы или уже выставленная браузером метка. Тогда каждая минута работы сайта стоит дороже короткой заглушки, и мы честно рекомендуем закрыть сайт до конца чистки.

Медленнее и другим способом. Сверять не с чем, и потому опорой становятся время изменения файлов, журналы веб-сервера и логика самого кода: ищем места, где данные из запроса попадают в исполнение, и всё, что подгружает код извне. Если у вас сохранился репозиторий или копия сайта до заражения — это лучший эталон, какой бывает, и разбор с ним сокращается в разы. Скажите о нём сразу.

Могли, и такой случай выглядит иначе. Файлы сайта чистые, а вредоносный код приходит с чужого домена прямо при загрузке страницы — через старый счётчик, брошенный виджет чата или библиотеку, подключённую с постороннего адреса. Мы дополнительно проверяем, что именно грузится на странице и откуда. Внешние подключения, у которых больше нет владельца, лучше снимать: их домен может быть перекуплен кем угодно.

Заражение сайта видно снаружи, и антивирус на ноутбуке его не увидит. Признаки: браузер показывает предупреждение при заходе, посетители из поиска и с телефонов улетают на чужие страницы, в индексе появились разделы, которых вы не создавали, с вашего домена пошла спам-рассылка, хостинг прислал уведомление о вредоносных файлах. Отдельный сигнал. Раздел безопасности в Search Console и в Яндекс.Вебмастере: там метка появляется раньше, чем жалобы клиентов.

Нет, со снимка. Мы снимаем полную копию файлов и базы до любых изменений — это единственный след, по которому потом восстанавливают способ проникновения. Чистка без копии уничтожает улики вместе с вредоносным кодом, и вторая дверь, которую атакующий оставил загодя, остаётся незамеченной. Копия хранится дополнительно от сайта. Только после снимка начинается разбор: какие файлы изменены, когда и какой запрос это сделал.

Сверяем файлы с оригинальной сборкой CMS, темы и плагинов той же версии — всё, что не совпало, попадает в разбор. Дальше смотрим файлы по времени изменения, ищем обфусцированный код и характерные конструкции веб-шеллов, проверяем базу: инъекции прячутся в настройках, в теле записей и в виджетах. Проверяем и задания cron, файл .htaccess и каталог загрузок, где исполняемых файлов быть не должно вовсе.

Наиболее частые двери. Устаревший плагин или тема с уже опубликованной уязвимостью, украденный пароль от панели или FTP, сосед по общему хостинг-аккаунту, забытая копия сайта в подпапке и слабый пароль базы. Пока дверь открыта, чистка бессмысленна: сайт заражается повторно за часы. Мы всегда ищем точку входа, а не только последствия, и закрываем её в том же заходе, что и чистку.

И так, и так, но по разным классам. Массовые однотипные инъекции — например, одинаковый вставленный блок в тысяче записей — снимаем скриптом, предварительно проверив его на копии и посчитав, сколько мест он затронет. Веб-шеллы, правки ядра и изменённые файлы темы разбираем руками: там нужно понять, что именно делал код, и только потом удалять. Итог обязательно сверяем с эталонной сборкой повторно.

Меняем всё, что могло утечь: пароли администраторов, доступ к хостингу, FTP и SSH, пароль базы данных, ключи внешних сервисов и платёжных модулей, секретные ключи и соли в конфигурации. Принудительно завершаем активные сессии, чтобы уже вошедший не остался внутри. Порядок здесь важен: сначала вытесняем доступ, потом чистим. Ротация до вытеснения только предупреждает атакующего, а чистка до ротации уничтожает след.

После чистки метка снимается не сама. Мы подаём заявку на перепроверку в разделе безопасности Search Console и в Яндекс.Вебмастере, и поисковик заново обходит сайт. Между подачей и снятием проходит время, и это нормально. До подачи имеет смысл убедиться, что чисто не только в файлах: заражение часто показывается выборочно — только мобильным устройствам или только роботу поисковика, а обычному посетителю страница выглядит нормальной.

Иногда проще, но копия опасна сама по себе. Если она снята после заражения, откат вернёт вредоносный код вместе с данными, и всё начнётся заново. Мы сначала определяем дату первого вредоносного файла и только потом выбираем копию заведомо старше неё. Часто правильнее вычистить текущую версию: откат на несколько недель назад стирает заказы, регистрации и контент, которые появились за это время.

Типичные потери. Выпадение страниц из индекса, появление в индексе чужих мусорных адресов и падение переходов из-за предупреждения в выдаче. После чистки мы убираем мусорные адреса, проверяем файл robots и карту сайта, заказываем переобход в Яндексе и отправляем обновлённую карту в Google. Восстановление занимает недели, а не часы, и потому чем раньше замечено заражение, тем дешевле оно обходится.

Повторной сверкой с эталонной сборкой и проверкой внешними сканерами. Проверяем и поведение сайта под мобильным браузером и под агентом поисковика: вредоносный редирект часто настроен показываться только им. Затем несколько дней смотрим журналы обращений — попытки достучаться до удалённых файлов означают, что адрес сайта остался в чьём-то списке, и подсказывают, какие точки входа стоит закрыть дополнительно.

Обновляем CMS, тему и расширения, убираем то, чем никто не пользуется — каждый лишний плагин это отдельная поверхность атаки. Приводим права на файлы и папки, запрещаем исполнение скриптов в каталоге загрузок, включаем двухфакторную авторизацию администраторам, ограничиваем доступ к служебным разделам. Настраиваем внешнее резервное копирование и контроль целостности файлов, чтобы следующее изменение ядра было замечено нами, а не посетителем.

Зависит от объёма заражения и от того, сохранились ли журналы. Порядок работ всегда один: копия, поиск точки входа, вытеснение доступа, чистка, проверка, заявка на снятие метки, профилактика. Оценку по срокам и стоимости мы даём после диагностики, а не по описанию симптомов — по внешним признакам невозможно отличить единственный вставленный блок от изменённого ядра с десятком закладок.