WebSniper · Москва

Лечение и восстановление сайта после взлома

Если сайт заражён, перенаправляет пользователей, рассылает спам, показывает предупреждение о вредоносном коде или перестал работать после взлома, сначала локализуем инцидент и сохраняем текущее состояние, затем очищаем/восстанавливаем проект и закрываем найденную причину заражения.

Нужна профилактика
02Раздел

Признаки, что сайт мог быть взломан

  • неизвестные страницы или ссылки;
  • перенаправления;
  • предупреждение браузера/поисковика;
  • массовый спам;
  • новые администраторы;
  • изменённые файлы;
  • резкий рост нагрузки;
  • странные cron/задачи;
  • сайт перестал работать после неизвестных изменений.
03Раздел

Что делаем в начале инцидента

  1. Фиксируем симптомы и время обнаружения.
  2. Ограничиваем дальнейший ущерб там, где это возможно.
  3. Сохраняем резервную копию/снимок текущего состояния для анализа.
  4. Проверяем доступы и источник последних изменений.
  5. Определяем, есть ли чистая резервная копия.
  6. Только после этого начинаем очистку или восстановление.
04Раздел

Как проходит восстановление сайта

01

Диагностика

Определяем масштаб: файлы, база, пользователи, редиректы, спам, серверные изменения.

02

Очистка или восстановление из чистой копии

Выбираем безопасный путь в зависимости от наличия проверенного backup.

03

Поиск причины

Устаревший компонент, украденный доступ, небезопасная форма, ошибка конфигурации или другой подтвержденный источник.

04

Закрытие причины

Обновляем/заменяем уязвимый компонент, меняем доступы и исправляем конфигурацию.

05

Проверка

Формы, ключевые страницы, checkout, интеграции, ошибки.

06

Возврат и мониторинг

Публикуем чистую версию и наблюдаем за повторными признаками.

CRM и интеграции
05Раздел

Когда лучше восстановить backup, а когда очищать текущую версию

Есть свежая подтверждённо чистая копиябыстрее восстановить и затем закрыть причину
Backup слишком старыйнужно оценить потерю новых заказов/контента и возможность частичного переноса
Неизвестно, когда произошло заражениеbackup может уже содержать вредоносные изменения
Копии неттребуется очистка текущего проекта и более глубокая проверка
06Раздел

Удалить вредоносный файл недостаточно

Если не устранить причину, заражение может вернуться. После очистки проверяем:

  • устаревшие компоненты;
  • подозрительные аккаунты;
  • украденные доступы;
  • загрузку файлов;
  • сторонние скрипты;
  • серверное окружение;
  • повторное появление изменённых файлов.
07Раздел

После инцидента меняем скомпрометированные доступы

В зависимости от ситуации:

  • CMS;
  • хостинг;
  • FTP/SFTP/SSH;
  • база данных;
  • API-токены;
  • почта;
  • внешние сервисы.
08Раздел

Восстановление WordPress после взлома

Отдельно проверяем:

  • ядро;
  • плагины;
  • темы;
  • uploads;
  • пользователей;
  • wp-config и окружение;
  • базу данных;
  • cron;
  • подозрительные изменения.

После очистки обновляем поддерживаемые компоненты и удаляем ненужные расширения после проверки зависимостей.

09Раздел

Если поисковик показывает предупреждение

После очистки и проверки сайта:

  • убеждаемся, что вредоносные страницы/редиректы исчезли;
  • проверяем индексируемые URL;
  • исправляем взломанные страницы и sitemap;
  • используем доступные инструменты Вебмастера/поисковой системы для повторной проверки, если предупреждение было выдано.
10Раздел

Что сделать после восстановления

  • настроить/проверить резервные копии;
  • обновить компоненты;
  • удалить лишние доступы;
  • проверить формы;
  • контролировать ошибки и подозрительные изменения;
  • составить краткий отчёт о причине и принятых мерах;
  • перейти на регулярную поддержку при необходимости.
Безопасность сайтаТехническая поддержка
11Раздел

Стоимость восстановления после взлома

Цена зависит от:

  • масштаба заражения;
  • CMS;
  • наличия чистой копии;
  • количества сайтов на аккаунте;
  • доступа к серверу;
  • необходимости восстановления данных;
  • причины инцидента;
  • срочности.
12Раздел

Вопросы о восстановлении сайта

Можно просто восстановить вчерашнюю копию?

Только если есть основания считать её чистой и потеря новых данных приемлема. Причину взлома всё равно нужно закрыть.

Сколько времени занимает лечение?

Зависит от масштаба инцидента, доступов и наличия проверенной чистой резервной копии. Предварительный срок определяем после диагностики.

Можно гарантировать, что заражение не повторится?

Гарантировать абсолютную безопасность нельзя. Мы устраняем найденную причину и рекомендуем меры снижения риска.

Нужно ли менять все пароли?

Набор доступов зависит от инцидента. Скомпрометированные и критичные секреты меняются после оценки ситуации.

Что делать, если сайт сейчас недоступен?

Укажите в обращении URL, симптомы и насколько проблема критична для бизнеса. Так мы быстрее определим аварийный сценарий и начнём диагностику.

13Раздел

Опишите симптом — начнём с диагностики

Пришлите URL и что именно произошло: предупреждение поисковика, редирект, неизвестные страницы, спам, потеря доступа или падение сайта.