Сайт взломали: пошаговая инструкция по восстановлению

Если на сайте появились чужие страницы, реклама, редиректы или он перестал открываться, не начинайте с удаления подозрительных файлов: так можно уничтожить следы атаки и оставить злоумышленнику другой способ доступа. Сначала ограничьте ущерб, затем сохраните данные для расследования и восстановите сайт из заведомо чистой копии. Инструкция рассчитана на владельца сайта или вебмастера; конкретные пункты панели управления зависят от хостинга, CMS и их версий.

Перед началом: доступы и безопасное устройство

Для работы понадобится устройство, которое вы считаете чистым: обновлённый компьютер без неизвестных расширений и подозрительных программ. Не меняйте пароли с устройства, на котором могли украсть данные. Подготовьте доступ к панели хостинга, доменному регистратору, CMS, базе данных и почте администратора. Если доступов нет или сервером управляет подрядчик, сразу свяжитесь с ним и попросите зафиксировать состояние сайта до очистки.

Не удаляйте резервные копии и не переустанавливайте CMS, пока не выяснили, где хранятся логи и резервные файлы. Зафиксируйте время обнаружения, адреса подозрительных страниц, сообщения браузера и письма от хостинга. Скриншоты и копии уведомлений пригодятся, чтобы восстановить последовательность событий.

Пошаговый план

1. Ограничьте доступ к заражённому сайту. Если сайт продолжает раздавать вредоносные файлы, вести посетителей на посторонние страницы или принимать заказы с риском утечки, попросите хостинг временно закрыть публичный доступ или включить страницу обслуживания. Не отключайте домен без необходимости: оставьте рабочими контакты и панель управления, если это безопасно. Проверка: в браузере посетитель больше не получает подозрительный контент, а у вас сохраняется доступ к администрированию.
2. Сообщите хостингу и запросите сохранение журналов. Передайте время обнаружения, домен и наблюдаемые симптомы. Попросите сохранить журналы веб-сервера, панели, FTP или SSH и сведения о недавних изменениях. Уточните, затронуты ли другие сайты на аккаунте, и есть ли признаки доступа к базе данных. Проверка: у вас есть номер обращения или письменный ответ с перечнем сохранённых данных и дальнейших действий.
3. Сохраните текущее состояние. До массовой очистки сделайте копию файлов и базы данных или попросите хостинг выполнить снимок. Пометьте копию как потенциально заражённую, укажите дату и храните её отдельно от рабочей системы. Не открывайте и не запускайте неизвестные файлы на своём компьютере. Такая копия нужна для анализа; она не подходит для восстановления сайта. Проверка: копия существует вне доступной злоумышленнику учётной записи и её можно идентифицировать по дате.
4. Закройте скомпрометированные доступы. С чистого устройства смените пароли администратора CMS, хостинга, FTP или SSH, базы данных, доменного регистратора и почты, связанной с сайтом. Отзовите неизвестные активные сессии и ключи доступа, удалите незнакомых пользователей. Включите многофакторную аутентификацию там, где она доступна. Если пароль использовался повторно, поменяйте его и в других сервисах. Проверка: вход работает только у известных пользователей, а в списках сессий и ключей нет чужих записей.
5. Найдите чистую точку восстановления. Проверьте резервные копии хостинга и собственные архивы. Выбирайте копию, созданную до первого известного признака взлома, но не считайте дату гарантией безопасности: проникновение могло произойти раньше. Сверьте её с журналами, временем обновлений и резервными копиями базы. Если определить чистую копию нельзя, попросите специалиста проверить её до восстановления. Проверка: вы знаете дату копии, откуда она взята и почему считаете её безопасной.
6. Обновите сайт и закройте причину проникновения. Восстанавливайте файлы и базу в изолированной среде или на закрытом сайте. Установите поддерживаемые версии CMS, тем и плагинов из доверенных источников; удалите компоненты, которыми не пользуетесь. Проверьте права учётных записей и настройки доступа. Если установленный компонент давно не поддерживается, замените его или отключите. Проверка: сайт запускается на обновлённом окружении, а в панели нет неизвестных пользователей и старых компонентов.
7. Проверьте сайт после запуска. Осмотрите главную страницу, формы, корзину и страницы входа с компьютера и телефона. Проверьте, нет ли неожиданных переадресаций, новых страниц и изменений в поисковой выдаче. Если у сайта есть раздел безопасности в панели вебмастера поисковой системы, проверьте уведомления о взломе и выполните предложенную проверку после очистки. Проверка: страницы открываются ожидаемым образом, формы работают, а предупреждения поисковой системы не остаются без ответа.
8. Разберите инцидент и настройте наблюдение. Запишите предполагаемую точку входа, затронутые данные и выполненные меры. Настройте автоматические резервные копии, проверяйте, что копия действительно восстанавливается, и включите уведомления о входах и изменениях, если такие возможности предоставляет ваша CMS или хостинг. Проверка: назначен ответственный за копии и обновления, а контрольное восстановление прошло успешно.

Восстановить главную страницу — не то же самое, что устранить взлом. Если не закрыть путь, которым получили доступ, сайт могут изменить снова даже после полной переустановки.

Если сайт работает на WordPress

Для WordPress проверьте список пользователей с правами администратора, установленные плагины и темы, а также файлы, которые менялись незадолго до появления проблемы. Сравнивайте файлы ядра с дистрибутивом официальной версии, а компоненты скачивайте из доверенных источников. Не удаляйте файл только потому, что он незнаком: некоторые плагины и темы добавляют собственные файлы. Сначала выясните, кому принадлежит компонент и нужен ли он сайту.

Универсальной команды очистки для всех сайтов WordPress нет: результат зависит от версии, набора расширений, хостинга и способа заражения. Если не можете отличить легитимный файл от вредоносного, не запускайте случайные скрипты из интернета — передайте копию специалисту. Рекомендации по укреплению WordPress собраны в официальной документации проекта.

Если очистка не помогла

• Редирект остался. Проверьте не только файлы CMS, но и настройки домена, конфигурацию сервера, базу данных и сторонние скрипты. Попросите хостинг проверить уровень аккаунта и соседние сайты.
• Не удаётся войти после смены пароля. Убедитесь, что изменили пароль именно в нужной учётной записи. Проверьте почту для сброса, список пользователей и активные сессии. Если доступ перехвачен, попросите хостинг восстановить контроль над аккаунтом.
• Сайт чистый, но браузер или поисковик предупреждает об опасности. Не игнорируйте предупреждение и не просите посетителей отключать защиту. Проверьте сайт повторно, устраните оставшиеся угрозы и воспользуйтесь процедурой проверки, которую предлагает соответствующий сервис.
• Заражение возвращается после восстановления. Вероятно, в копии сохранился вредоносный файл или не устранён другой путь доступа. Остановите повторные попытки восстановления, сохраните журналы и проверьте сервер, учётные записи и все сайты в том же аккаунте.

Как выбрать способ восстановления

Термин, который пригодится

Точка восстановления¹ — сохранённая копия файлов и данных на определённый момент времени, к которой можно вернуться. Важно восстановить не только файлы сайта, но и соответствующую им базу данных: иначе сайт может показывать ошибки или потерять заказы и записи.

¹ Резервная копия считается полезной только после проверки: архив должен читаться, а восстановление — работать в подходящем окружении.

Что делать дальше

После восстановления назначьте конкретного ответственного за обновления, доступы и резервные копии. Проведите контрольное восстановление на отдельной среде, а не ждите следующего инцидента. В первые дни чаще проверяйте журналы входов, изменения файлов и новые учётные записи; если симптомы возвращаются, снова ограничьте публичный доступ и привлеките специалиста, не затирая журналы повторной переустановкой.