Rodzaje złośliwego oprogramowania w WordPressie – jak rozpoznać infekcję
„Strona ma wirusa” to zbyt ogólne stwierdzenie, żeby skutecznie działać. Różne rodzaje złośliwego kodu robią różne rzeczy, ukrywają się w różnych miejscach i dają różne objawy. Kiedy wiesz, z czym masz do czynienia, czyszczenie jest szybsze i dokładniejsze.
1. Backdoory (tylne drzwi)
Niewielki plik PHP lub fragment kodu, który pozwala atakującemu wrócić na serwer w dowolnej chwili – nawet po zmianie haseł. To zwykle pierwszy element, który instaluje włamywacz, i powód, dla którego „wyczyszczona” strona zostaje zainfekowana ponownie.
Gdzie szukać: pliki PHP w wp-content/uploads/, pliki o „systemowych” nazwach w nietypowych miejscach, zaciemniony kod z eval(, base64_decode(, gzinflate(, str_rot13(.
2. Złośliwe przekierowania
Część odwiedzających trafia na strony z oszustwami, reklamami lub fałszywymi „nagrodami”. Infekcje często są warunkowe: przekierowują tylko użytkowników telefonów, tylko osoby wchodzące z Google albo tylko przy pierwszej wizycie – dlatego właściciel strony ich nie widzi.
Gdzie szukać: pliki .htaccess (także w podkatalogach), skrypty wstrzyknięte w nagłówek motywu, tabela wp_options i treść wpisów w bazie danych.
3. SEO spam
Na Twojej domenie pojawiają się tysiące podstron z reklamami leków, kasyn albo podróbek – często w języku japońskim. Ich celem jest wykorzystanie zaufania Google do Twojej domeny. Ty ich nie widzisz, ale widzą je wyszukiwarki, a Twoja strona traci pozycje.
Jak wykryć: zapytanie site:twojadomena.pl w Google, raport „Strony” w Google Search Console, nagły wzrost liczby zaindeksowanych adresów.
Najgroźniejsza infekcja to ta, której nie widać. Dlatego oceniam stan strony po plikach, bazie i logach – a nie po tym, czy strona „normalnie działa”.
4. Skimmery kart płatniczych
Skrypt JavaScript wstrzyknięty na stronę zamówienia, który kopiuje dane wpisywane w formularzu płatności. Dotyczy głównie sklepów, które przyjmują dane kart bezpośrednio na swojej stronie. Więcej o ochronie w poradniku o bezpieczeństwie WooCommerce.
Gdzie szukać: skrypty ładowane z nieznanych domen na stronie kasy, zmodyfikowane pliki JS motywu i wtyczek płatności, wpisy w ustawieniach „dodatkowych skryptów”.
5. Koparki kryptowalut
Skrypt, który wykorzystuje procesory odwiedzających (w przeglądarce) albo serwera do „kopania” kryptowalut. Objawy: strona i kokpit nagle bardzo zwolniły, wentylator komputera przyspiesza na Twojej stronie, hosting zgłasza przekroczenie zasobów.
6. Rozsyłanie spamu i phishing
Przejęty serwer służy do wysyłki spamu albo hostowania fałszywych stron logowania banków i kurierów w ukrytym katalogu. Pierwszym sygnałem bywa blokada wysyłki poczty przez hosting albo trafienie domeny na czarne listy – wtedy Twoje zwykłe maile też przestają docierać.
7. Ukryci administratorzy i fałszywe wtyczki
Włamywacz zakłada konto administratora, które nie wyświetla się na liście użytkowników, albo instaluje wtyczkę ukrytą przed kokpitem. Dzięki temu ma stały dostęp, nawet jeśli usuniesz inne ślady.
Gdzie szukać: porównaj liczbę administratorów w kokpicie z tabelą wp_users i wp_usermeta w phpMyAdmin; przejrzyj katalog wp-content/plugins oraz wp-content/mu-plugins bezpośrednio na serwerze.
Co zrobić, gdy znajdziesz którykolwiek z tych śladów:
- Nie usuwaj pojedynczego pliku i nie uznawaj sprawy za zamkniętą – infekcje prawie zawsze mają kilka elementów.
- Zmień wszystkie hasła (WordPress, FTP, hosting, baza danych) i klucze w
wp-config.php. - Postępuj według planu z wpisu co zrobić po włamaniu na WordPress.
- Po oczyszczeniu znajdź i zamknij lukę, którą weszli – inaczej wrócą.
Najczęstsze pytania
Jak rozpoznać, że WordPress ma malware?
Typowe objawy to przekierowania na obce strony, spam w wynikach Google dla Twojej domeny, nieznane konta administratorów, ostrzeżenia przeglądarki i nagłe skoki ruchu wychodzącego. Pewność daje przegląd plików i bazy.
Skąd bierze się malware na stronie?
Najczęściej z nieaktualnych wtyczek i motywów, słabych haseł oraz pirackich („nulled”) dodatków, w których złośliwy kod jest już wbudowany. Rzadziej ze słabo odseparowanego hostingu współdzielonego.
Czy antywirus na komputerze chroni stronę?
Nie. Antywirus chroni Twój komputer, a nie serwer, na którym stoi strona. Bezpieczeństwo WordPressa to osobny temat: aktualizacje, hardening, firewall i kopie zapasowe.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
