نشانه‌ها معمولاً ناگهانی ظاهر می‌شوند: صفحه اصلی سایت پیام ناآشنا نشان می‌دهد، بازدیدکنندگان موبایلی به سایت قمار یا تبلیغاتی هدایت می‌شوند، گوگل کنار نام سایت هشدار می‌گذارد یا میزبان به دلیل ارسال اسپم حساب را محدود می‌کند. در این لحظه، عجله برای «پاک کردن چند فایل مشکوک» وسوسه‌انگیز است، اما بدون روند درست، سایت چند روز بعد دوباره آلوده می‌شود.
قدم اول: مهار، نه پاک‌سازی عجولانه
- اگر سایت بازدیدکنندگان را به محتوای مخرب هدایت می‌کند، موقتاً آن را از دسترس خارج کنید یا صفحه «در حال تعمیر» نشان دهید.
- به میزبان هاست اطلاع دهید؛ ممکن است لاگ‌ها و ابزارهای اسکن سمت سرور در اختیار داشته باشد.
- پیش از هر تغییری، از وضعیت فعلی فایل‌ها و دیتابیس یک نسخه جدا بگیرید. این نسخه آلوده است و نباید بازگردانی شود، اما برای پیدا کردن راه نفوذ لازم است.
قدم دوم: همه رمزها را عوض کنید
مهاجم ممکن است رمزها را در اختیار داشته باشد. از یک رایانه سالم، این رمزها را تغییر دهید:
- رمز ورود به cPanel یا پنل هاست، و فعال کردن ورود دومرحله‌ای
- حساب‌های FTP و رمز کاربر دیتابیس، که باید در فایل تنظیمات سایت هم به‌روز شود
- رمز همه مدیران سایت؛ و حذف کاربران مدیر ناشناس
- رمز صندوق‌های ایمیلی که روی همان هاست هستند
در وردپرس، کلیدهای امنیتی (Salts) فایل wp-config.php را هم تعویض کنید تا همه نشست‌های فعال، از جمله نشست مهاجم، باطل شوند.
قدم سوم: بازگردانی از بکاپ سالم یا پاک‌سازی
سریع‌ترین و مطمئن‌ترین راه، بازگردانی بکاپی است که پیش از آلودگی گرفته شده است. اما تاریخ آلودگی همیشه همان تاریخ کشف آن نیست؛ تاریخ تغییر فایل‌های مشکوک را ببینید و بکاپ قدیمی‌تر از آن را انتخاب کنید. اگر بکاپ سالم ندارید، پاک‌سازی دستی لازم است:
- هسته وردپرس را با نسخه رسمی و تازه جایگزین کنید.
- افزونه‌ها و پوسته را حذف و از منبع رسمی دوباره نصب کنید؛ نسخه‌های نال‌شده را کنار بگذارید.
- پوشه
wp-content/uploadsرا برای فایل‌های PHP بررسی کنید؛ در این پوشه معمولاً نباید فایل PHP وجود داشته باشد. - فایل‌های
.htaccess، کارهای زمان‌بندی‌شده (Cron Jobs) در پنل هاست و جدول کاربران و تنظیمات دیتابیس را برای موارد ناشناس بررسی کنید. - با ابزار اسکن بدافزار سمت سرور یا یک افزونه امنیتی معتبر، کل حساب را دوباره اسکن کنید.
اگر چند سایت روی یک حساب هاست دارید، همه را بررسی کنید. آلودگی یک سایت قدیمی و فراموش‌شده می‌تواند سایت‌های دیگر همان حساب را دوباره آلوده کند.
قدم چهارم: راه نفوذ را پیدا کنید و ببندید
اگر نفهمید مهاجم از کجا وارد شده، به احتمال زیاد دوباره از همان راه برمی‌گردد. رایج‌ترین ریشه‌ها افزونه یا پوسته به‌روزنشده با آسیب‌پذیری شناخته‌شده، پوسته یا افزونه نال‌شده، رمز ضعیف یا لو رفته و دسترسی‌های رهاشده پیمانکاران قبلی هستند. لاگ‌های دسترسی سرور در بازه زمانی آلودگی، معمولاً درخواست‌های مشکوک به یک فایل یا افزونه خاص را نشان می‌دهند.
قدم پنجم: بازگشت به نتایج جست‌وجو
پس از پاک‌سازی، در Google Search Console بخش مشکلات امنیتی را بررسی کنید و درخواست بازبینی بدهید. اگر دامنه یا IP به دلیل ارسال اسپم در فهرست‌های سیاه قرار گرفته، پس از رفع مشکل درخواست حذف بدهید. سایت را چند هفته زیر نظر بگیرید و تغییر فایل‌ها را پایش کنید.
چک‌لیست
- سایت مهار و از وضعیت آلوده نسخه جدا گرفته شده
- همه رمزها و کلیدهای امنیتی تعویض شده
- بازگردانی از بکاپ سالم یا پاک‌سازی کامل انجام شده
- راه نفوذ شناسایی و بسته شده
- هشدار گوگل و فهرست‌های سیاه بررسی شده
- بکاپ منظم و به‌روزرسانی دوره‌ای از این به بعد برقرار است
اگر سایت شرکتتان آلوده شده، کارشناسان ITPlus724 می‌توانند پاک‌سازی، بازیابی و بستن راه نفوذ را انجام دهند و سایت را روی هاست امن و همراه با بکاپ منظم میزبانی کنند.