Hosting zgłasza malware w jednej domenie. Strona zostaje wyczyszczona, ale po kilku dniach raport pokazuje kolejne podejrzane pliki. Problem nie musi znajdować się wyłącznie w naprawianym WordPressie. Na tym samym koncie może działać stary sklep, zapomniana kopia testowa albo skrypt uruchamiany poza katalogiem tej witryny.
Przy takiej sytuacji trzeba sprawdzić granice dostępu i cały uzgodniony zakres konta. Nie oznacza to automatycznie włamania do serwera dostawcy ani infekcji wszystkich jego klientów. Poniżej wyjaśniam, co ustalić z hostingiem i osobą prowadzącą naprawę, zanim uznasz sprawę za zamkniętą.
Strona, konto hostingowe i serwer to różne zakresy incydentu
Pod jednym panelem mogą znajdować się różne domeny, aplikacje, bazy danych i skrzynki pocztowe. Domena jest adresem, a nie zabezpieczeniem oddzielającym pliki. Ważne jest to, z jakimi uprawnieniami działa aplikacja oraz do których zasobów ma dostęp.
W praktyce warto rozróżnić trzy sytuacje:
- Naruszenie pojedynczej aplikacji. Potwierdzone zmiany dotyczą jednej witryny; trzeba zbadać, czy dostęp nie wykraczał poza nią.
- Naruszenie konta hostingowego lub kilku instalacji. Podejrzane zmiany albo przejęte dostępy obejmują szerszy zestaw zasobów użytkownika.
- Naruszenie uprawnień administratora serwera. To inna skala problemu, wymagająca działań administratora infrastruktury i osobnego planu odtworzenia środowiska.
Sam fakt wykrycia malware w dwóch domenach nie dowodzi przejęcia całego serwera. Takie rozróżnienie opisuje również dokumentacja bezpieczeństwa cPanel. Zakres naprawy powinien wynikać z dowodów, nie z najbardziej alarmującej interpretacji komunikatu.
Dlaczego infekcja może przechodzić między instalacjami
Jeśli kilka aplikacji ma możliwość zapisu do tych samych plików lub katalogów, błąd w jednej z nich może zagrozić pozostałym. Podobny problem powstaje przy wspólnych danych dostępowych albo nadmiernych uprawnieniach do baz danych. Dokładny zasięg zależy od konfiguracji konkretnego hostingu.
Osobne foldery nie zawsze oznaczają rzeczywistą izolację. Z kolei współdzielenie fizycznego serwera nie oznacza samo w sobie, że każda strona może modyfikować inne strony. Poproś dostawcę o wyjaśnienie modelu separacji aplikacji, zamiast zakładać, że sama zmiana nazwy katalogu rozwiąże problem.
Zalecenia WordPress dotyczące zabezpieczeń podkreślają ograniczanie dostępu i skutków potencjalnego włamania. Z tego wynika praktyczna zasada: naprawiając jedną instalację, trzeba sprawdzić także zasoby, do których mogła uzyskać dostęp.
Zacznij od spisu domen, aplikacji i starych kopii
Lista aktywnych stron w przeglądarce może być krótsza niż lista instalacji na koncie. Przed czyszczeniem uporządkuj z wykonawcą:
- domeny i subdomeny oraz przypisane im katalogi;
- działające sklepy, strony firmowe i aplikacje dedykowane;
- wersje testowe, stare migracje i kopie pozostawione po zmianie strony;
- bazy danych oraz konta aplikacji, które z nich korzystają;
- zadania harmonogramu, konta FTP/SFTP, klucze SSH i dostępy do panelu;
- archiwa i eksporty przechowywane w katalogach dostępnych publicznie przez przeglądarkę.
Przy każdym elemencie ustal właściciela, przeznaczenie i to, czy nadal jest potrzebny. Stara instalacja nie przestaje wymagać zabezpieczeń tylko dlatego, że nie ma do niej linku w menu.
Nie usuwaj nieznanego katalogu na podstawie samej nazwy. Może obsługiwać integrację, zadanie automatyczne albo inną stronę. Wyłączenie lub usunięcie nieużywanej aplikacji wymaga rozpoznania zależności, kopii i zgody właściciela.
O co zapytać hosting po otrzymaniu raportu malware
Zamiast prosić wyłącznie o odblokowanie domeny, poproś o dane pozwalające wyznaczyć zakres kontroli:
- Jakie dokładnie pliki, ścieżki i objawy wykryto oraz kiedy wykonano skan?
- Czy sprawdzenie obejmowało jedną witrynę, czy całe dostępne konto?
- Czy wykryto podejrzane zmiany w innych instalacjach lub zadaniach harmonogramu?
- Jakie logi są dostępne i jak długo będą przechowywane?
- Czy aplikacje na koncie działają z oddzielnymi uprawnieniami?
- Jakie warunki trzeba spełnić przed zdjęciem blokady i ponowną kontrolą?
Raport skanera jest wskazówką do analizy. Brak wykryć w jednym katalogu nie potwierdza czystości obszarów, których skan nie obejmował. Podobnie świeża data modyfikacji pliku nie jest samodzielnym dowodem infekcji.
Jeśli potrzebujesz informacji o samej blokadzie strony, zobacz poradnik: hosting zablokował WordPress przez malware - co zrobić.
Naprawa powinna obejmować dostęp i źródło problemu
Przed zmianami zachowaj prywatną kopię stanu incydentu, raport i dostępne logi. Kopia zainfekowanych plików służy analizie, nie powinna trafić do publicznego katalogu ani zostać uznana za bezpieczny punkt przywrócenia. Materiał może zawierać hasła i dane klientów, więc wymaga ograniczonego dostępu.
Następnie ustal plan dla wszystkich potwierdzonych obszarów naruszenia: naprawę lub odtworzenie aplikacji, usunięcie przyczyny wejścia, przegląd uprawnień i kontrolę nieautoryzowanych dostępów. Przywrócenie starej bazy trzeba uzgodnić z obsługą sklepu, aby nie zgubić nowych zamówień i zmian.
Przejęte dostępy należy ograniczyć możliwie szybko w porozumieniu z hostingiem. Zaufane dane dostępowe ustawiaj z bezpiecznego urządzenia; po odzyskaniu kontroli przejrzyj również sesje, klucze i pozostałe metody logowania. Zakres zależy od ustaleń incydentu, a nie tylko od hasła do WordPressa.
cPanel w zaleceniach dla przejętego konta wskazuje potrzebę przeglądu i zmiany metod uwierzytelnienia oraz usunięcia pierwotnej podatności. Samo odtworzenie plików nie naprawia błędu, przez który doszło do włamania. Szerzej o ponownym pojawianiu się malware piszę w artykule wirus wraca po czyszczeniu WordPressa.
Czy przeniesienie strony na nowy hosting wystarczy
Nie, jeśli przeniesiesz te same zainfekowane pliki, podatną aplikację lub przejęte dostępy. Migracja może być częścią naprawy, ale nie zastępuje diagnozy i weryfikacji przenoszonych danych.
Po incydencie warto rozważyć rozdzielenie niezależnych projektów na odseparowane konta, ograniczenie uprawnień użytkowników baz i uporządkowanie dostępów wykonawców. Dostawca powinien potwierdzić, co rzeczywiście izoluje wybrany wariant usługi. Sam zakup VPS nie zapewnia bezpieczeństwa bez poprawnej konfiguracji i utrzymania.
Jeśli potwierdzono przejęcie uprawnień administratora serwera, decyzję o odbudowie środowiska podejmuje jego administrator. To nie jest zwykłe czyszczenie jednej strony na koncie współdzielonym.
Co powinno znaleźć się w podsumowaniu naprawy
Poproś o listę sprawdzonych aplikacji i katalogów, opis potwierdzonych zmian, wykonane działania oraz rzeczy, których nie udało się zweryfikować. Potrzebujesz wiedzieć, czy kontrola dotyczyła całego konta, czy tylko wybranej domeny.
Ustal także ponowną kontrolę po uruchomieniu, sposób obserwowania nowych zmian i odpowiedzialność za aktualizacje oraz kopie przechowywane poza kontem. Jednorazowy czysty raport nie jest gwarancją, że problem nie wróci. Ważne jest odzyskanie kontroli nad środowiskiem i ograniczenie przyczyny incydentu.
Potrzebujesz pomocy po infekcji? Zobacz odwirusowanie WordPress i usuwanie malware. Przy kilku aplikacjach opisz w wiadomości kontaktowej cały znany zakres konta, komunikat hostingu i objawy, ale nie przesyłaj haseł. Po naprawie można ustalić opiekę i dalszy rozwój, obejmujące uzgodnione aktualizacje, kopie i monitoring.