„Wirus na WordPressie” to potoczne określenie różnych rodzajów złośliwego kodu: backdoorów, skryptów przekierowujących, spamu SEO, web shelli czy kodu wysyłającego pocztę. Nie istnieje jeden plik, który zawsze wystarczy usunąć.
Szybka odpowiedź
Jeżeli skaner wskazał zainfekowane pliki, nie ograniczaj się do ich usunięcia. Malware może mieć kilka kopii i mechanizm odtwarzania. Trzeba sprawdzić rdzeń, rozszerzenia, uploady, bazę danych, użytkowników, crony i logi.
Najczęstsze objawy malware
Do typowych symptomów należą przekierowania tylko dla części użytkowników, nowe podstrony w Google, nieznane pliki PHP, wysyłka spamu, pojawianie się administratorów, modyfikacje .htaccess oraz gwałtowny wzrost zużycia zasobów.
Sprytniejsze infekcje aktywują się wyłącznie dla ruchu z wyszukiwarki albo na urządzeniach mobilnych. Administrator może więc długo niczego nie widzieć.
Gdzie malware może się ukryć?
W wp-content/plugins, motywach, katalogu uploadów, pliku wp-config.php, plikach rdzenia oraz bazie danych. Złośliwy kod bywa zaciemniony przez funkcje kodujące i dynamiczne wykonanie.
Czyszczenie rdzenia
Pliki WordPressa, które nie zawierają Twoich danych, najlepiej porównać z oficjalną, czystą paczką i odtworzyć. To pewniejsze niż ręczne szukanie pojedynczych zmian.
Wtyczki i motywy
Jeżeli pochodzą z zaufanego repozytorium lub od producenta, pobierz świeże wersje. „Nulled” motywy i pluginy są szczególnie ryzykowne, ponieważ nie masz wiarygodnego źródła kodu.
Uploady
Przejrzyj nietypowe rozszerzenia i pliki wykonywalne. Jeżeli serwer pozwala wykonywać PHP w katalogu przeznaczonym wyłącznie na media, rozważ zablokowanie takiej możliwości.
Baza danych
Sprawdź wp_options, treści wpisów, widżety, aktywne pluginy, adres strony oraz użytkowników. Złośliwy JavaScript może zostać wstrzyknięty do pola opcji i wykonywać się mimo czystych plików.
Cron i mechanizmy odtwarzania
Backdoor może tworzyć zaplanowane zadanie, które po kilku minutach ponownie zapisuje usunięty plik. Dlatego po czyszczeniu trzeba sprawdzić zadania WordPressa i systemowe crony.
Logi
Log dostępu może pokazać żądanie, po którym pojawił się pierwszy podejrzany plik. Logi uwierzytelnienia i SFTP mogą wskazać przejęte konto.
Po czyszczeniu
Zmień hasła i klucze, aktualizuj rozszerzenia, usuń nieużywane komponenty i popraw uprawnienia. Następnie monitoruj, czy podejrzane pliki nie wracają.
Malware a SEO
Spamerskie podstrony mogą pozostać w indeksie wyszukiwarki po fizycznym usunięciu infekcji. Najpierw napraw serwis i zapewnij poprawne statusy HTTP, a następnie pozwól wyszukiwarce ponownie przetworzyć adresy.
Minimalny standard bezpieczeństwa dla firmy
Przy temacie wirus WordPress nie warto szukać jednej „najlepszej wtyczki”. Bezpieczeństwo powinno tworzyć kilka niezależnych warstw. Jeśli jedna zawiedzie, kolejna nadal ogranicza skutki incydentu.
Minimalny zestaw obejmuje: aktualny kod, indywidualne konta administratorów, silne uwierzytelnienie, poprawne uprawnienia plików, ograniczenie zbędnych usług, backup off-site oraz monitoring. Na serwerze dochodzą firewall, aktualizacje systemu, logi i izolacja aplikacji.
Po wdrożeniu zabezpieczeń wykonaj prosty audyt: sprawdź listę administratorów, nieużywane wtyczki, publicznie dostępne pliki, działanie kopii i sposób reagowania na awarię. Zabezpieczenie, którego nikt później nie kontroluje, z czasem przestaje być zabezpieczeniem.
Powiązane poradniki HeatLogic
Potrzebujesz pomocy?
HeatLogic może wykonać ręczne i automatyczne sprawdzenie WordPressa, usunąć malware, zamknąć punkt wejścia i monitorować stronę po incydencie.
Najczęściej zadawane pytania
Czy malware może siedzieć w bazie WordPressa?
Tak. Złośliwy kod może być zapisany w opcjach, treściach, widżetach lub danych użytkowników.
Czy usunięcie jednego wykrytego pliku wystarczy?
Często nie. Infekcja może mieć kilka komponentów albo mechanizm ponownego tworzenia pliku.
Czy skaner online znajdzie każde malware?
Nie. Skanery są przydatne, ale nie widzą wszystkich plików i danych serwera.
Czy po infekcji trzeba zmienić wszystkie hasła?
Co najmniej te związane ze stroną i serwerem, które mogły zostać ujawnione: WordPress, hosting, SFTP/SSH, baza oraz klucze API.