Zamiast oferty firmy pojawia się reklama, podejrzany sklep albo komunikat nakłaniający do instalacji programu. Czasem problem występuje tylko na telefonie lub po wejściu z Google. Właściciel otwiera witrynę ze swojego komputera i nie widzi niczego niepokojącego.
Niechciane przekierowanie wymaga diagnozy. Samo odświeżenie strony i poprawny widok u administratora nie potwierdzają, że problem zniknął. Trzeba odtworzyć warunki zgłoszenia, ustalić źródło zmiany i sprawdzić efekt naprawy w tych samych warunkach.
Jeżeli hosting już wyłączył witrynę, zacznij od poradnika co zrobić po blokadzie WordPressa przez malware. Tutaj skupiam się na sytuacji, w której strona kieruje użytkownika pod nieoczekiwany adres.
Czy każde niechciane przekierowanie oznacza infekcję?
Nie. Przekierowania są normalną częścią działania witryny, na przykład po zmianie adresu podstrony. Nieprawidłowa konfiguracja domeny, reguła dodana przez administratora lub błąd integracji również mogą skierować odwiedzającego w niewłaściwe miejsce. Przyczyny nie należy przesądzać bez sprawdzenia.
Obca strona z reklamami, prośbą o dane lub pobranie programu jest jednak powodem do pilnego działania. Nie wpisuj na niej danych i nie pobieraj proponowanych plików. Zapisz adres oraz okoliczności zdarzenia, a analizę podejrzanego celu pozostaw osobie prowadzącej diagnozę.
W pierwszym zgłoszeniu oddziel fakty od przypuszczeń. „Po otwarciu podstrony Kontakt z telefonu o 10:15 trafiłem na inną domenę” daje wykonawcy więcej niż stwierdzenie „WordPress ma wirusa”.
Dlaczego administrator widzi stronę, a klient trafia gdzie indziej
Dokumentacja raportu problemów z bezpieczeństwem Google opisuje między innymi przekierowania zapisane w konfiguracji serwera, kodzie strony i JavaScripcie. Pokazuje również przykład działania uzależnionego od wejścia z wyszukiwarki.
Dlatego jeden poprawny test nie wyklucza problemu. Do porównania potrzebne są informacje o urządzeniu, sposobie wejścia i zalogowaniu użytkownika. To warunki do odtworzenia, a nie dowód określonej techniki ataku. Bezpieczną analizę wykonuje się w kontrolowanym środowisku, bez obchodzenia ostrzeżeń przeglądarki.
Poproś zgłaszającą osobę o odpowiedzi:
- Jaki adres otworzyła jako pierwszy?
- Czy weszła z wyniku Google, reklamy, linku czy wpisała adres ręcznie?
- Czy używała telefonu, czy komputera?
- Czy była zalogowana do strony?
- Czy przekierowanie nastąpiło od razu, czy po kliknięciu elementu?
- Kiedy zdarzenie wystąpiło i jaki adres pojawił się na końcu?
Taki opis pozwala porównać zgłoszenia i ustalić plan testów bez wielokrotnego proszenia klientów o otwieranie podejrzanej strony.
Co zachować przed rozpoczęciem czyszczenia
Zabezpiecz raport hostingu, zrzut komunikatu i dostępne logi z okresu zdarzenia. Osoba odpowiedzialna za naprawę powinna również zachować kopię plików i bazy przed zmianami, przechowywaną poza publicznym katalogiem strony. Kopia stanu po incydencie służy diagnozie i nie jest automatycznie czystą wersją do przywrócenia.
Oficjalny poradnik WordPress po włamaniu zaleca dokumentowanie objawów, kontakt z hostingiem oraz wykonanie kopii przed czyszczeniem. Warto zanotować także ostatnie zmiany administratora: instalacje dodatków, aktualizacje i modyfikacje konfiguracji.
Ustal z hostingiem i wykonawcą, czy trzeba tymczasowo ograniczyć dostęp do witryny, aby chronić odwiedzających. W sklepie osobno uwzględnij bieżące zamówienia i dane klientów. Nie zastępuj aktualnej bazy starszą kopią bez oceny, jakie dane zostałyby utracone.
Gdzie szuka się źródła przekierowania
Plan kontroli powinien obejmować zarówno odpowiedź serwera, jak i kod wykonywany w przeglądarce. W WordPressie sprawdzenia mogą wymagać reguły serwera, pliki motywu i wtyczek, konfiguracja, treści zapisane w bazie oraz zewnętrzne zasoby ładowane przez stronę. Jeżeli witryna korzysta z CDN lub reguł przekierowań poza hostingiem, trzeba uwzględnić także tę warstwę.
Zakres wynika z ustaleń, a nie z założenia, że infekcja zawsze znajduje się w jednym pliku. Raport naprawy powinien wskazywać, który element powodował przekierowanie i jak to potwierdzono. Jeśli źródła nie ustalono, taka niepewność powinna być opisana wprost.
Wordfence wyjaśnia w poradniku czyszczenia przejętej witryny, że analiza może wymagać ręcznego sprawdzania plików i danych. Wynik skanera należy więc czytać razem z informacją o jego zakresie. Brak wykrycia w jednym teście nie zastępuje odtworzenia zgłoszonego zachowania.
Jak powinna wyglądać naprawa
Naprawa powinna rozwiązać wykryty problem oraz ograniczyć możliwość ponownego wprowadzenia nieautoryzowanej zmiany. Samo ukrycie reklamy lub usunięcie pojedynczego odnośnika może pozostawić przyczynę nietkniętą.
Poproś wykonawcę o rozdzielenie prac na trzy etapy:
- Diagnoza i zabezpieczenie materiału. Ustalenie objawów, zakresu kontroli oraz sposobu ograniczenia szkód.
- Usunięcie potwierdzonych zmian i zabezpieczenie dostępów. Oczyszczenie lub odtworzenie właściwych elementów, ocena komponentów i przegląd uprawnień.
- Weryfikacja i przekazanie. Testy naprawionej witryny, opis wykonanych prac i plan obserwacji po uruchomieniu.
Nie ma jednej listy plików do skasowania, która pasuje do każdego przypadku. Usuwanie elementów w ciemno może uszkodzić witrynę albo utrudnić odtworzenie przebiegu incydentu. Zmiany danych dostępowych i sesji należy zaplanować z osobą odpowiedzialną za środowisko, z zaufanego urządzenia.
Jeżeli problem wróci po wcześniejszej naprawie, przeczytaj również dlaczego wirus wraca po czyszczeniu WordPressa. Ten poradnik dotyczy ponownego objawu, a nie zastępuje diagnozy pierwszego przekierowania.
Jak sprawdzić efekt i uporządkować ostrzeżenia Google
Odbiór prac powinien wracać do zgłoszonych warunków: tych samych adresów, sposobu wejścia i typów urządzeń. Wykonawca powinien także sprawdzić ścieżkę kontaktu lub zakupu. Zapisz datę testów i ich zakres, aby późniejszy objaw można było porównać ze stanem po naprawie.
Jeśli Google zgłosił problem w raporcie „Problemy dotyczące bezpieczeństwa”, po usunięciu przyczyn korzysta się z procedury ponownego sprawdzenia dostępnej w tym raporcie. Prośba o indeksowanie pojedynczego URL nie jest tą samą procedurą i nie zastępuje przeglądu bezpieczeństwa. Google może potrzebować czasu na ocenę zgłoszenia.
Brak alertu w GSC nie potwierdza natomiast, że wszystkie elementy środowiska są czyste. Rozdziel potwierdzone działanie strony, wynik skanowania i status komunikatów narzędzi zewnętrznych.
Co przesłać do diagnozy
Przygotuj adres strony, krótki opis przekierowania, czas wystąpienia i aktualny komunikat hostingu, jeśli go otrzymałeś. Nie przesyłaj haseł w pierwszej wiadomości ani danych klientów widocznych na zrzutach.
W ramach odwirusowania WordPress i usuwania malware ustalam zakres kontroli i sposób przywrócenia działania strony. Po naprawie warto uzgodnić również opiekę techniczną i dalszy rozwój, aby było wiadomo, kto odpowiada za aktualizacje, kopie i reakcję na nowe objawy.
Opisz, dokąd przekierowuje Twoja strona - na tej podstawie określę, jakie dodatkowe informacje będą potrzebne do diagnozy.