Strona WordPress może wyglądać normalnie, a mimo to wyświetlać złośliwe przekierowania tylko użytkownikom telefonów, osobom przychodzącym z Google albo robotom wyszukiwarki. Dlatego pojedynczy skaner online z wynikiem „czysto” nie potwierdza bezpieczeństwa. Rzetelna weryfikacja wymaga sprawdzenia tego, co widzi Google, następnie publicznej wersji strony, plików na serwerze, bazy danych i integralności WordPressa.
Jakie są objawy infekcji WordPressa?
Zanim rozpoczniesz czyszczenie, ustal, czy problem rzeczywiście występuje. Nie każdy spadek wydajności oznacza malware, ale kilka symptomów jednocześnie powinno skłonić do pełnej diagnostyki:
- strona przekierowuje część odwiedzających na obce witryny, reklamy, fałszywe konkursy lub strony phishingowe,
- Google Search Console pokazuje ostrzeżenie w raporcie „Problemy dotyczące bezpieczeństwa”,
- w wynikach wyszukiwania pojawiają się nieznane podstrony z treściami o kasynach, lekach, produktach lub w językach, których nie publikujesz,
- na stronie pojawiają się nowe konta administratorów, wtyczki, motywy albo pliki, których nikt nie instalował,
- klienci widzą wyskakujące okna lub przekierowania, których nie możesz powtórzyć na własnym komputerze,
- serwis nagle działa wolniej, wysyła spam albo hosting zgłasza nietypowe obciążenie.
Jak przeprowadzić wielopoziomową weryfikację?
Najbezpieczniej przechodzić od obserwacji zewnętrznych do kontroli serwera. Każdy kolejny poziom ma dostęp do innych danych, dlatego nie należy zastępować całej procedury jednym narzędziem.
- Sprawdź Google Search Console. Otwórz raport „Problemy dotyczące bezpieczeństwa” i przejrzyj przykładowe adresy wskazane przez Google. Użyj też funkcji sprawdzania adresu URL, która może ujawnić treści prezentowane robotowi. Sprawdź listę właścicieli usługi, ponieważ nieznane konto może oznaczać przejęcie dostępu.
- Przeszukaj indeks Google. Wpisz zapytanie site:twojadomena.pl i zobacz, czy pod domeną nie ma spamowych podstron. Możesz dodać określenia takie jak casino, viagra lub replica, jeśli podejrzewasz SEO spam. Przydatny jest także Raport przejrzystości Google dotyczący Bezpiecznego przeglądania.
- Uruchom skanery zewnętrzne. Sucuri SiteCheck, VirusTotal dla adresu URL lub podobne usługi sprawdzą publicznie dostępne elementy, reputację domeny i część znanych sygnatur. Traktuj wynik jako wskazówkę, nie jako certyfikat czystości.
- Wykonaj skan po stronie WordPressa. Narzędzia takie jak Wordfence, WP Cerber Security lub Sucuri Security mogą przeanalizować pliki, wykryć zmiany i porównać część instalacji z oryginałami. Sprawdź także bazę danych, konta użytkowników, katalog uploads i plik .htaccess.
- Zweryfikuj pliki poza działającym WordPressem. Przy dostępie SSH użyj WP-CLI. Polecenie wp core verify-checksums porównuje pliki rdzenia z wersją opublikowaną w WordPress.org, a wp plugin verify-checksums wykonuje podobną kontrolę dla wtyczek z oficjalnego repozytorium. Opcja –include-root pomaga wykryć także nieoczekiwane pliki w katalogu głównym.
Możliwości poszczególnych metod różnią się znacząco:
| Rodzaj kontroli | Co widzi? | Czego może nie wykryć? |
|---|---|---|
| Skaner online | Publiczną odpowiedź strony, przekierowania, część sygnatur i list blokujących | Backdoorów, plików w ukrytych katalogach, bazy danych i kodu niewykonywanego przy zwykłej wizycie |
| Wtyczka bezpieczeństwa | Pliki WordPressa, zmiany w instalacji, sygnatury malware i część luk | Infekcji ukrytej przed przejętym WordPressem, kodu w bazie oraz nieznanych zagrożeń |
| Kontrola serwerowa i sumy kontrolne | Zmodyfikowane pliki rdzenia i wtyczek, nowe pliki oraz wybrane różnice względem oryginału | Nieautoryzowanych zmian w motywach premium, katalogu uploads, bazie danych i logach bez osobnej analizy |
Dlaczego automatyczne skanery mogą przeoczyć infekcję?
Skaner zewnętrzny działa podobnie jak przeglądarka. Pobiera adres, analizuje otrzymany kod i sprawdza znane wzorce. Nie ma jednak dostępu do całego systemu plików, bazy danych, zadań cron ani logów serwera. Jeśli backdoor znajduje się w katalogu wp-content/uploads i nie jest wywoływany podczas skanowania, narzędzie może go nie zobaczyć.
Problemem jest także cloaking, czyli maskowanie treści. Złośliwy kod może uruchamiać się tylko dla ruchu z wyszukiwarki, urządzeń mobilnych, określonego adresu IP lub niezalogowanych użytkowników. Właściciel wchodzący bezpośrednio z zakładki zobaczy wtedy prawidłową stronę, podczas gdy klient trafi na przekierowanie. Z tego samego powodu trzeba porównać to, co widzisz samodzielnie, z informacjami w Search Console.
Wtyczka działająca wewnątrz WordPressa ma szerszy dostęp, ale nie jest niezależna od środowiska, które bada. Atakujący może zmienić jej ustawienia, wyłączyć ją albo ukryć pliki. Sygnatury wykrywają znane wzorce, lecz nie każdy backdoor ma charakterystyczny zapis. Infekcja może też znajdować się w opcjach WordPressa, treści wpisów, widżetach lub tabelach bazy danych.
Suma kontrolna jest mocnym testem integralności rdzenia, ale także ma zakres. Nie potwierdza czystości motywu potomnego, własnych wtyczek, katalogu uploads ani całej bazy. Dlatego brak różnic w plikach WordPressa nie oznacza jeszcze, że cała strona jest bezpieczna.
Co zrobić po potwierdzeniu infekcji?
Nie usuwaj podejrzanych plików w ciemno. Najpierw zachowaj kopię zainfekowanego stanu, ponieważ może być potrzebna do analizy źródła ataku i odtworzenia danych.
Po potwierdzeniu problemu działaj w uporządkowanej kolejności:
- Utwórz kopię do celów analitycznych. Zabezpiecz pliki i bazę danych przed zmianami. Nie traktuj tej kopii jako bezpiecznej wersji do ponownego wdrożenia.
- Ogranicz dostęp do strony. Jeśli infekcja aktywnie przekierowuje użytkowników lub zapisuje kolejne pliki, włącz tryb serwisowy albo zastosuj blokadę uzgodnioną z administratorem hostingu.
- Zmień wszystkie dane dostępowe. Dotyczy to kont WordPress, panelu hostingu, SSH, FTP, bazy danych i kont administratorów. Usuń nieznanych użytkowników oraz aplikacyjne tokeny dostępu.
- Nie czyść pojedynczych plików bez ustalenia zakresu. W przypadku rdzenia, oficjalnych wtyczek i motywów bezpieczniejsza bywa ponowna instalacja z zaufanego źródła po zachowaniu potrzebnych danych. Własny kod i elementy premium wymagają osobnej weryfikacji.
- Sprawdź przyczynę włamania. Przejrzyj aktualizacje, logi, zadania cron, uprawnienia, bazę danych oraz inne strony znajdujące się na tym samym koncie hostingowym.
Czy strona jest naprawdę czysta?
Za wiarygodne potwierdzenie czystości uznaj dopiero zgodność kilku niezależnych sygnałów:
- Search Console nie pokazuje nierozwiązanych problemów bezpieczeństwa ani nieznanych właścicieli usługi,
- w wynikach site: nie ma spamowych adresów, a zewnętrzne skanery nie wykazują aktywnych przekierowań,
- sumy kontrolne rdzenia i wtyczek nie pokazują nieuzasadnionych zmian,
- przegląd plików, bazy danych, kont, logów i zadań cron nie ujawnia backdoorów ani obcych mechanizmów dostępu.
Jeśli infekcja wraca, dotyczy sklepu, obejmuje bazę danych lub nie masz dostępu do serwera, potrzebna będzie analiza specjalisty. Sam wynik „brak malware” z jednego skanera nie rozstrzyga sprawy.
