Strona firmowa zhakowana? Tak wygląda usuwanie malware i hardening krok po kroku

Jeśli Twoja strona firmowa została zhakowana, pierwsze kroki to: odizolowanie konta (żeby złośliwy kod nie zainfekował kolejnych plików), backup stanu "na dziś" do analizy, a następnie skan i usunięcie malware z plików i bazy danych. Dopiero potem wchodzi hardening, czyli zabezpieczenia, które mają nie dopuścić do powtórki. Poniżej pokazujemy dokładnie, jak wygląda ten proces u nas.

Jak rozpoznać, że strona firmowa została zhakowana

Włamanie na stronę WordPress rzadko wygląda jak w filmach, czarny ekran z napisem "zhakowano". Znacznie częściej pierwszym sygnałem jest komunikat od Google Search Console o "treści zwodniczej" albo spadek ruchu, bo Chrome zaczął wyświetlać ostrzeżenie "ta strona może zagrażać Twojemu urządzeniu". Inne typowe objawy to dziwne przekierowania na strony z reklamami lub kasynami online (widoczne czasem tylko dla użytkowników z wyszukiwarki, nie dla administratora zalogowanego do panelu), nowe konta administratora w WordPressie, których nikt z zespołu nie utworzył, spadek wydajności serwera spowodowany dodatkowym, złośliwym skryptem działającym w tle, oraz maile od hostingu z informacją, że z konta wysyłane są tysiące wiadomości spamowych.

Dla właściciela firmy, który nie zajmuje się na co dzień stroną internetową, żaden z tych sygnałów nie jest oczywisty. Dlatego u nas monitoring bezpieczeństwa (skan integralności plików, kontrola nowych kont administratorskich, alerty o nietypowym ruchu) działa w tle na kontach objętych zabezpieczaniem, w planach Biznes i Pro, i to my zgłaszamy się do klienta, zanim on w ogóle zorientuje się, że coś jest nie tak.

Usuwanie malware krok po kroku

Poniżej procedura, którą stosujemy przy realnym usuwaniu złośliwego oprogramowania ze strony klienta, w kolejności, w jakiej faktycznie ją wykonujemy.

• Krok 1, izolacja konta. Odcinamy konto od reszty infrastruktury na serwerze współdzielonym (każde konto klienta jest już izolowane w osobnej "komórce", więc infekcja jednej strony nie rozlewa się na inne konta), blokujemy podejrzane adresy IP i tymczasowo wyłączamy funkcje wysyłki e-mail, jeśli to z nich wychodzi spam.
• Krok 2, backup stanu przed czyszczeniem. Zabezpieczamy pełną kopię plików i bazy danych w aktualnym (zainfekowanym) stanie. To ważne z dwóch powodów: pozwala cofnąć się, jeśli któryś krok czyszczenia okaże się zbyt agresywny, oraz daje materiał do analizy, skąd dokładnie doszło do włamania.
• Krok 3, skan plików i bazy danych. Porównujemy pliki instalacji z czystymi wersjami z oficjalnego repozytorium WordPressa oraz z archiwum wtyczek i motywów, żeby znaleźć zmodyfikowane lub dodane pliki. Przeszukujemy bazę danych pod kątem złośliwych wpisów, np. w tabeli z wpisami czy opcjami, gdzie hakerzy często ukrywają przekierowania i dodatkowy kod.
• Krok 4, usunięcie złośliwego kodu. Usuwamy zainfekowane pliki, przywracamy oryginalne wersje z repozytorium, czyścimy wstrzyknięty kod z bazy danych, usuwamy nieautoryzowane konta administratorskie oraz nieznane klucze API i tokeny dostępu (np. do wtyczek typu backup czy SEO, które hakerzy czasem wykorzystują jako furtkę).
• Krok 5, zmiana wszystkich haseł i kluczy. Resetujemy hasła do panelu WordPressa, do bazy danych, do FTP/SFTP i do skrzynek e-mail powiązanych z kontem, oraz generujemy nowe klucze bezpieczeństwa (salts) WordPressa, żeby unieważnić stare sesje.
• Krok 6, weryfikacja czystości. Ponownie skanujemy całość, sprawdzamy Google Search Console pod kątem ostrzeżeń o złośliwym oprogramowaniu i zgłaszamy prośbę o ponowną weryfikację strony, jeśli została oznaczona jako niebezpieczna.

Cały proces, w zależności od skali infekcji, trwa od kilku godzin do dwóch dni roboczych. Klient przez cały czas widzi status zgłoszenia w kanale "Czego potrzebujesz?" w panelu klienta i dostaje informację, na jakim etapie jesteśmy, zamiast czekać w niepewności na odpowiedź z anonimowego ticketu.

Hardening, czyli jak nie dopuścić do powtórki

Wyczyszczenie strony bez wzmocnienia zabezpieczeń to jak naprawienie wybitej szyby bez zmiany zamka, złodziej wróci tą samą drogą. Dlatego po każdym czyszczeniu wdrażamy zestaw działań hardeningowych, dopasowany do konkretnej przyczyny włamania. Pierwszą warstwą jest zwykle zapora aplikacyjna, a co dokładnie robi i kiedy ma sens, wyjaśniamy w tekście o tym, czym jest WAF i czy strona firmowa go potrzebuje. Cały zestaw zwykle obejmuje:

• Wdrożenie i konfigurację zapory aplikacyjnej (WAF), która blokuje typowe wzorce ataków (SQL injection, próby wgrania złośliwych plików) zanim dotrą do samego WordPressa.
• Wymuszenie silnych haseł i, tam gdzie to możliwe, uwierzytelniania dwuskładnikowego dla kont administratorskich.
• Ograniczenie liczby prób logowania (blokada po kilku nieudanych próbach), co eliminuje ataki typu brute force na panel logowania.
• Aktualizację i usunięcie porzuconych wtyczek, które w wielu przypadkach są pierwotną przyczyną włamania, więcej o tym piszemy w artykule o bezpiecznej aktualizacji WordPressa.
• Wyłączenie edycji plików z poziomu panelu WordPressa oraz ograniczenie uprawnień plików i katalogów do niezbędnego minimum.
• Regularny, zautomatyzowany skan integralności plików, żeby kolejna próba infekcji została wykryta w ciągu godzin, nie tygodni.

W planie Pro dochodzi do tego regularny przegląd bezpieczeństwa, czyli okresowa, ręczna weryfikacja konfiguracji przez naszego specjalistę, nie tylko automatyczny skan.

Skąd w ogóle biorą się włamania na firmowe strony

W zdecydowanej większości przypadków, które widzimy, przyczyną nie jest wyrafinowany atak wymierzony akurat w daną firmę, tylko zautomatyzowane boty skanujące internet w poszukiwaniu znanych, niezałatanych luk. Najczęstsze źródła to: nieaktualizowana wtyczka lub motyw ze znaną, opublikowaną luką bezpieczeństwa, słabe hasło do panelu administracyjnego (wciąż zaskakująco częste), brak zapory aplikacyjnej, przez co każdy automatyczny skaner ma pełny dostęp do formularza logowania, oraz przestarzała wersja PHP, dla której producent nie wydaje już łatek bezpieczeństwa.

To dokładnie te obszary pokrywa zabezpieczenie strony WordPress wliczone w plan Biznes: hardening, WAF, monitoring i usuwanie malware w cenie abonamentu, bez osobnej faktury za "usługę awaryjną", która u niektórych konkurencyjnych hostingów potrafi kosztować więcej niż roczny abonament.

Czego szukają automatyczne boty i dlaczego małe firmy też są celem

Wielu właścicieli małych firm zakłada, że ich strona jest "za mało ważna", żeby ktokolwiek chciał ją zaatakować. To błędne założenie. Zdecydowana większość ataków, które usuwamy, nie ma nic wspólnego z celowym wyborem konkretnej firmy, boty skanują całe zakresy adresów IP i domen w poszukiwaniu jednego, konkretnego, znanego błędu, na przykład konkretnej, niezałatanej luki w popularnej wtyczce. Nie obchodzi ich, czy strona należy do międzynarodowej korporacji, czy do lokalnego warsztatu samochodowego, liczy się wyłącznie to, czy dana luka jest obecna. Dlatego mała firma z nieaktualizowaną wtyczką jest równie atrakcyjnym celem jak duża, a często nawet bardziej, bo mniejsze strony rzadziej mają jakikolwiek monitoring bezpieczeństwa.

Ile realnie kosztuje zignorowanie zabezpieczeń

Właściciele firm często traktują zabezpieczenia jako koszt, który można odłożyć na później, dopóki nic się nie dzieje. Warto policzyć to inaczej. Wyczyszczenie zainfekowanej strony w trybie awaryjnym u freelancera albo agencji zwykle kosztuje jednorazowo więcej niż kilka miesięcy abonamentu z zabezpieczaniem wliczonym w cenę. Do tego dochodzi utrata pozycji w Google, jeśli strona zostanie oznaczona jako niebezpieczna, powrót do poprzednich pozycji w wynikach wyszukiwania po zdjęciu ostrzeżenia potrafi zająć tygodnie, nawet gdy techniczna naprawa trwała jeden dzień. Sklep internetowy w sezonie sprzedażowym, na przykład przed świętami, może stracić więcej na kilkugodzinnym przestoju spowodowanym atakiem niż wynosi roczny koszt planu z pełną opieką.

Jest jeszcze koszt trudny do wycenienia wprost, zaufanie klientów. Firma, której klienci dostali ostrzeżenie od przeglądarki albo, gorzej, zostali przekierowani na podejrzaną stronę z poziomu linku, który sami wysłali, traci coś więcej niż ruch na chwilę. Dlatego zabezpieczanie strony nie powinno być traktowane jako dodatek, tylko jako część tej samej umowy co backup czy SSL.

Plan Pro: regularne przeglądy zamiast reagowania na incydent

Różnica między planem Biznes a Pro w obszarze bezpieczeństwa polega na przejściu z modelu reaktywnego do proaktywnego. W planie Biznes reagujemy szybko, gdy monitoring wykryje coś niepokojącego. W planie Pro dochodzi do tego regularny, ręczny przegląd bezpieczeństwa i wydajności, wykonywany przez naszego specjalistę, nie tylko automatyczny skan. Sprawdzamy wtedy rzeczy, które automat łatwo pomija: nietypowe uprawnienia użytkowników dodane "tymczasowo" i zapomniane, wtyczki instalowane testowo, które zostały na stałe, oraz konfigurację kopii zapasowych pod kątem tego, czy rzeczywiście dałoby się z nich odtworzyć stronę w rozsądnym czasie.

To podejście ma szczególne znaczenie dla sklepów WooCommerce w okresach wzmożonego ruchu i dla firm, które ze względu na charakter działalności (kancelarie, gabinety, podmioty przetwarzające dane wrażliwe) nie mogą sobie pozwolić na jakiekolwiek ryzyko wycieku danych klientów.

Najczęstsze błędy, które ułatwiają włamanie

Poza porzuconymi wtyczkami i słabymi hasłami, o których pisaliśmy wyżej, w praktyce powtarza się kilka innych, prostych do uniknięcia błędów. Konto administratora o nazwie "admin", zamiast unikalnej nazwy użytkownika, ułatwia atak brute force o połowę, bo napastnik nie musi już zgadywać loginu. Współdzielenie tego samego hasła do panelu WordPressa, poczty i FTP oznacza, że wyciek jednego z tych haseł otwiera dostęp do wszystkiego naraz. Instalowanie wtyczek z nieoficjalnych, "darmowych" źródeł (tak zwane nulled plugins) to jedna z najczęstszych dróg, którymi złośliwy kod trafia na stronę już w momencie instalacji, zanim jeszcze dojdzie do jakiegokolwiek ataku z zewnątrz. Wszystkie te elementy sprawdzamy w ramach hardeningu i eliminujemy jako standardową część opieki nad kontem.

Kolejny, często pomijany błąd to brak rozdziału uprawnień między osobami pracującymi na stronie. Jeśli agencja marketingowa, freelancer i pracownik firmy logują się na to samo, wspólne konto administratora, nie da się później ustalić, kto i kiedy wprowadził daną zmianę, a to utrudnia zarówno diagnozę problemu, jak i szybkie odcięcie dostępu osobie, z którą kończy się współpraca. W ramach hardeningu rekomendujemy osobne konta dla każdej osoby z dostępem, z uprawnieniami ograniczonymi do tego, co faktycznie jest jej potrzebne do pracy.

Dlaczego to ma znaczenie dla firm z danymi klientów

Jeśli prowadzisz sklep internetowy, kancelarię albo gabinet, gdzie strona przetwarza dane osobowe klientów, włamanie to nie tylko wstyd i utracony ruch, to potencjalne naruszenie ochrony danych osobowych z obowiązkiem zgłoszenia do UODO. Serwery fizycznie w Warszawie i zgodność z RODO to fundament, na którym budujemy zabezpieczanie kont, ale realne bezpieczeństwo zapewnia dopiero człowiek, który reaguje na incydent w godzinach, nie dniach.

Zobacz pełną listę tego, co obejmuje opieka nad bezpieczeństwem w naszym cenniku, albo sprawdź, jak wygląda to w praktyce dla konkretnych typów działalności na stronie zastosowania. Jeśli Twoja obecna strona już wykazuje niepokojące objawy, zgłoś się, zanim Google oznaczy ją jako niebezpieczną, to jest dokładnie ten moment, w którym hosting dla firm z realnym wsparciem człowieka robi różnicę.