Wyczyściłeś stronę, a wirus wrócił? Winne są backdoory
To jeden z najbardziej frustrujących scenariuszy. Strona zostaje zainfekowana, ktoś usuwa złośliwy kod, wszystko wygląda dobrze, a po kilku dniach infekcja wraca. I znowu. Właściciel łapie się za głowę i myśli, że trafił na wyjątkowo złośliwego wirusa. W rzeczywistości problem jest inny: ktoś zostawił otwarte tylne drzwi.
Czym jest backdoor
Backdoor (dosłownie „tylne wejście") to niewielki, ukryty fragment kodu, który napastnik zostawia na stronie specjalnie po to, by móc wrócić, nawet po tym, jak usuniesz widoczną infekcję i zmienisz hasła. To jak włamywacz, który po wejściu do domu po cichu dorabia sobie klucz do bocznych drzwi. Możesz wymienić zamek w drzwiach frontowych, ale on i tak wejdzie.
Usunięcie objawów infekcji bez usunięcia backdoora to jak leczenie gorączki bez leczenia jej przyczyny. Poczujesz ulgę na chwilę, a potem wszystko wraca.
Dlaczego backdoory są tak trudne do znalezienia
Napastnicy chowają je sprytnie:
- udają zwykłe pliki: nazywają się jak elementy WordPressa czy Joomli (np.
wp-config-backup.php,class-loader.php), więc na pierwszy rzut oka wyglądają niewinnie, - rozsiewają się w wielu miejscach: nie jeden plik, ale kilka albo kilkanaście, poukrywanych w różnych folderach i we wtyczkach,
- wtapiają się w istniejący kod: czasem to tylko jedna linijka doklejona do prawdziwego pliku motywu,
- siedzą też w bazie danych: nie tylko w plikach, co pomija wiele „szybkich" czyszczeń.
Wystarczy, że przeoczysz jeden, a napastnik ma drogę powrotu.
Dlatego samodzielne „szybkie czyszczenie" często zawodzi
Najczęstszy błąd to usunięcie tego, co widać (np. spamu w treści), z przekonaniem, że sprawa załatwiona. Tymczasem prawdziwa robota polega na czymś innym: przeczesaniu całej strony i bazy w poszukiwaniu wszystkich furtek oraz ustaleniu, którędy napastnik wszedł za pierwszym razem. Bez tego drugiego kroku dziura, przez którą dostał się na stronę, wciąż jest otwarta.
Jak naprawdę przerwać błędne koło
Skuteczne wyleczenie strony to zawsze te same elementy, wykonane rzetelnie:
- Znalezienie i zamknięcie drogi wejścia: nieaktualna wtyczka, słabe hasło, piracki dodatek, stara wersja CMS.
- Odnalezienie wszystkich backdoorów: w plikach i w bazie danych, nie tylko tego pierwszego, który rzuca się w oczy.
- Wymiana rdzenia i wtyczek na czyste wersje z oficjalnych źródeł, zamiast „naprawiania" zainfekowanych plików.
- Zmiana wszystkich haseł (panel, hosting, FTP, baza, mail) po zakończeniu czyszczenia.
- Obserwacja przez kilka dni: jeśli coś zostało, zwykle ujawnia się szybko.
Kiedy warto oddać to specjaliście
Jeśli Twoja strona łapie infekcję po raz drugi czy trzeci, to najlepszy dowód, że backdoor wciąż tam jest. To moment, w którym samodzielne próby zwykle tylko przedłużają problem. Zajmujemy się tym na co dzień: znajdujemy wszystkie furtki, zamykamy drogę wejścia i doprowadzamy stronę do stanu, w którym infekcja nie ma jak wrócić.
Twoja strona „nie chce się wyleczyć"? Napisz do nas, przerwiemy to błędne koło.