Сайт атакован: краткое руководство к действию

Надеемся, вы открыли эту статью не по причине того, что ваш сайт подвергся атаке — иначе переходите сразу к этой её части. А если вы хотите просто узнать на будущее, как в целом обнаруживаются и ликвидируются киберугрозы, то давайте пойдём по порядку.

Признаки атаки

Чаще всего о том, что сайт был атакован злоумышленниками, говорит следующее:

• Наблюдаются неполадки в работе сайта, появляются предупреждения и уведомления об ошибках.

• Фиксируются аномалии на сервере: большие скачки трафика, чрезмерное количество исходящих соединений, полная загруженность процессора и памяти.

• Размеры файлов и даты их изменения меняются без вашего участия, а директории сами появляются и исчезают.

• В коде сайта внезапно добавился текст неизвестного происхождения.

• Антивирус или браузер реагируют на посещение вашего сайта предупреждением об опасности.

• Хостинг-провайдер присылает уведомления о подозрительной активности.

• Появилось перенаправление с сайта на неизвестные ресурсы.

• Сайт оказался в бан-листах поисковиков Яндекса и Google, в результате чего он пропал из выдачи или помечен как несущий угрозу.

Но бывает и так, что вредоносное воздействие остаётся незамеченным и никак не проявляется. Поэтому необходимо регулярно проверять сайт на наличие взлома и вирусов независимо от того, зафиксировано ли что-то подозрительное в его работе или нет.

Проверка сайта

Поговорим о том, как обнаружить вредоносное воздействие на сайт. Чтобы перестраховаться, рекомендуем использовать сразу несколько из этих способов:

• сканирование онлайн-сканерами;

• проверка на вирусы средствами хостинга;

• проверка загруженной копии сайта программами-антивирусами;

• поиск подозрительных включений в коде PHP-скриптов;

• проверка файла .htaccess на наличие постороннего кода;

• проверка через Яндекс.Вебмастер и Google Search Console;

• просмотр отображения страниц сайта из выдачи поисковых систем с предварительной очисткой файлов cookies и кеша браузера;

• просмотр серверных журналов на наличие следов подозрительной активности.

Отражение атаки

Если вы узнали, что ваш сайт был атакован, выполните эти действия:

• Обезвредьте угрозы вручную или используя специальные программы.

• Сохраните лог-файлы доступа к серверу или запросите их у хостера.

• Автоматически просканируйте серверные скрипты, шаблоны CMS, базы данных, конфигурационные файлы на наличие вредоносного кода.

• Проверьте вручную код во всех файлах и папках на наличие подозрительных фрагментов.

• Измените все пароли и SSH-ключи, которые используются для работы с сайтом.

• Проверьте список пользователей и удалите тех, кто обладает расширенными правами.

• Восстановите «чистую» резервную копию сайта, если она имеется.

• Найдите и устраните уязвимость — то самое место, через которое ваш сайт был атакован. Для этого в том числе могут пригодиться сохранённые лог-файлы.

• Обновите всё программное обеспечение, а также откажитесь от сомнительного ПО, если оно использовалось раньше.

• Просканируйте компьютер, где велась работа над сайтом, на наличие вирусов.

• Проверьте отображение сайта в поисковиках. Если ресурс помечается в них как небезопасный, можно либо подождать, когда поисковые системы убедятся в отсутствии угроз, либо запросить внеплановую проверку вашего сайта через Яндекс.Вебмастер и Google Search Console.

Чтобы понимать, с какой стороны взломщики могут атаковать ваш сайт, прочитайте нашу статью об уязвимостях. Также мы рассказывали и о том, какие цели преследуют взломщики.