Коли сайт переадресовує на сторонню адресу, майже завжди йдеться про злам, а не про помилку налаштувань. Цей тип атаки побудовано так, щоб власник його не помітив. Переадресація спрацьовує лише для відвідувачів із пошуку, лише на телефоні або лише один раз для того самого відвідувача. Ви відкриваєте сайт напряму, і він виглядає як завжди.
Коротко
- Це злам. Від самого початку ставтеся до нього саме так.
- Змініть паролі, перш ніж виправляти вміст, інакше виправлення буде скасовано.
- Видалити лише переадресацію недостатньо, бо бекдор залишиться.
1. Переконайтеся, що симптом справді є
Відкрийте сайт на телефоні через мобільний інтернет і перейдіть на нього з результатів пошуку, а не ввівши адресу. Спробуйте також у приватному вікні. Якщо переадресація відбувається лише в цих випадках, це підтверджує, що її навмисно приховують.
2. Негайно змініть паролі
Змініть паролі до хостингу, файлового доступу (FTP/SFTP), бази даних і облікових записів адміністраторів WordPress. Видаліть користувачів, яких ви не знаєте. Якщо цього не зробити, зловмисник і далі матиме доступ і поверне переадресацію, щойно ви її видалите.
3. Знайдіть джерело переадресації
Найчастіші схованки: файл .htaccess, початкові файли теми, папка, замаскована під плагін, і рядки налаштувань у базі даних. Перевірте також каталоги бібліотеки файлів: туди часто підкидають виконуваний код серед зображень. Якщо не знаєте, що шукати, не вгадуйте, а переходьте до пункту 5.
4. Перевірте користувачів і заплановані завдання
Після зламу на сайті часто залишається зайвий адміністратор і заплановане завдання, яке відновлює шкідливий код. Якщо переадресація повертається через кілька годин після видалення, справа саме в цьому.
5. Очистіть увесь сайт
Видалення однієї переадресації не робить сайт чистим. Повне очищення описано в інструкції зламаний сайт. Якщо у вас є чиста резервна копія, зроблена до зламу, вона буде найшвидшим шляхом назад, див. резервне копіювання сайту.
6. Подайте пошуковій системі запит на повторну перевірку
Коли переадресацію усунуто, попередження в результатах пошуку ще може залишатися кілька днів. Щоб його зняти, потрібен окремий запит, і це описано в інструкції Google попереджає про сайт.
Чого не варто робити
Не обмежуйтеся видаленням переадресації, щоб просто повернутися до звичних справ. Бекдор залишиться, і наступного разу сайт використають для чогось помітнішого. Також не оновлюйте все спершу, щоб розбиратися потім: оновлення зітре сліди, за якими можна було б знайти причину.
Якщо не хочете робити це самостійно
Ми повністю очистимо сайт, закриємо шлях, яким зловмисники потрапили всередину, і розповімо, що вони встигли зробити. Ми не просто видаляємо переадресацію, бо вона повернеться за кілька днів.
