SEO, dezvoltare și găzduire în aceeași echipăluni–vineri, 09:30–17:30031 401 4100
Agenție SEO
pentru Google, Bing și AI
luni–vineri031 401 4100Discută cu un specialist

Site virusat sau spart: ce faci acum și cum îl curățăm

Un site e virusat când cineva a pus în el cod străin: redirecturi spre alte site-uri (vizitatorul e trimis automat în altă parte), pagini de spam, linkuri ascunse sau fișiere care infectează vizitatorii. De obicei intră printr-un plugin sau o temă neactualizată ori printr-o parolă furată. Devirusarea înseamnă curățarea fișierelor și a bazei de date, închiderea căii de intrare și cererea către Google de a scoate avertismentul.

Un client îți spune că site-ul îl trimite pe un site de pariuri. Chrome afișează un ecran roșu înaintea paginii tale. În Google apar pagini în japoneză cu numele tău de domeniu. Toate înseamnă același lucru: cineva are acces la site-ul tău, și fiecare oră contează pentru clienți și pentru Google.

Discută cu un specialist

Ne scrii sau ne suni în programul afișat, de luni până vineri, între 09:30 și 17:30, și programăm intervenția. Telefon: 031 401 4100.

Cinci lucruri de făcut înainte să ne suni

  1. Nu șterge nimic.

    Nu reinstala site-ul și nu șterge fișiere sau backupuri. Fișierele infectate arată pe unde a intrat atacatorul. Fără ele, curățarea se face pe ghicite și site-ul poate fi spart din nou.

  2. Schimbă parolele, de pe un calculator curat.

    Parola de administrare a site-ului, a contului de găzduire, a FTP-ului și a bazei de date. Pornește de la un calculator sau un telefon pe care nu l-ai folosit pentru site în ultimele zile, dacă poți.

  3. Cere de la găzduire o copie de siguranță de dinainte.

    Află ce backupuri există și din ce zile. Nu restaura încă: o copie veche poate avea deja codul străin, doar ascuns.

  4. Deschide Search Console (raportul gratuit de la Google despre site-ul tău).

    La „Securitate și acțiuni manuale”, raportul „Probleme de securitate” îți spune ce a găsit Google și pe ce pagini. Fă o captură.

  5. Notează ce ai observat și când.

    Ce vezi, pe ce pagini, de pe ce dispozitiv, de când. Unele redirecturi apar doar pe telefon sau doar când vii din Google, ca proprietarul să nu le vadă.

Semnele unui site virusat

Dacă vezi cel puțin unul dintre ele, tratează site-ul ca spart până se dovedește contrariul.

  • Chrome afișează pe ecran roșu „Site periculos” înaintea paginii tale; alte browsere au avertismente asemănătoare.

    Google Safe Browsing a marcat site-ul. Vizitatorii sunt opriți înainte să intre.

  • Vizitatorii veniți din Google sau de pe telefon sunt trimiși pe alt site.

    Redirect malware, de obicei ascuns de administratorul logat.

  • Căutarea „site:adresa-ta.ro” arată pagini în japoneză, de farmacie sau de pariuri pe care nu le-ai creat.

    Japanese keyword hack sau pharma hack: atacatorul creează pagini de spam pe domeniul tău.

  • În Google, sub site-ul tău scrie „Este posibil ca acest site să fie compromis” sau „Acest site poate dăuna computerului tău”.

    Google a detectat conținut adăugat de altcineva sau programe periculoase.

  • Găzduirea ți-a suspendat contul sau mailurile site-ului ajung în spam ori sunt respinse.

    Site-ul trimite spam sau consumă serverul.

  • În administrare apar utilizatori pe care nu i-ai creat.

    Atacatorul și-a făcut cont propriu ca să revină.

De ce „la mine merge”: proprietarul logat vede site-ul normal, vizitatorul venit din Google pe telefon vede avertismentul

Ce vede proprietarul, logat în administrare

Pagina arată normal. Codul străin se ascunde de administratorul logat.

Ce vede vizitatorul venit din Google, pe telefon

Avertismentul din browser sau redirectul spre alt site.

Schemă după avertismentul din Chrome, nu captură.

Pe unde intră atacatorii, cel mai des

  1. Un plugin, o temă sau un modul neactualizat?

    Cauza: cea mai des întâlnită cale de intrare. O vulnerabilitate publicată într-un plugin WordPress, un modul PrestaShop sau o extensie Magento e folosită automat pe mii de site-uri în câteva zile.

    Ce facem: găsim componenta prin care s-a intrat, o actualizăm sau o înlocuim și actualizăm platforma la o versiune întreținută.

  2. O parolă furată sau prea simplă?

    Cauza: parole refolosite, conturi de administrator vechi ale foștilor colaboratori, FTP fără criptare, încercări automate de ghicire a parolei.

    Ce facem: scoatem conturile care nu mai trebuie, schimbăm toate parolele și cheile din configurație și punem limite la autentificare și activăm autentificarea în doi pași acolo unde platforma permite.

  3. O temă sau un plugin „nulled”?

    Cauza: variante piratate ale unor teme sau pluginuri plătite, descărcate de pe site-uri neoficiale. Vin des cu cod străin inclus din fabricație.

    Ce facem: le înlocuim cu versiunile oficiale și verificăm restul codului după aceeași semnătură.

  4. Un server neizolat sau neactualizat?

    Cauza: mai multe site-uri în același cont, unde unul infectat le infectează pe celelalte, permisiuni de fișiere prea largi, versiuni vechi de PHP sau ale serverului.

    Ce facem: izolăm site-urile între ele, corectăm permisiunile, actualizăm PHP-ul și pachetele serverului și punem firewall (un filtru care oprește atacurile) pe server.

  5. Codul străin a rămas după o curățare anterioară?

    Cauza: o curățare făcută doar cu un plugin de securitate a scos fișierele vizibile, dar a lăsat o ușă ascunsă (backdoor) în alt loc, de obicei în baza de date sau într-un fișier care pare legitim.

    Ce facem: comparăm fișierele site-ului cu versiunile originale ale platformei și ale pluginurilor, căutăm în baza de date și în sarcinile programate ale serverului și verificăm ce s-a modificat recent.

Devirusarea site-ului, pe server și în cod, apoi securizarea

Un plugin de securitate vede doar ce e în site. Atacatorii lasă des cod și în afara lui: în alte foldere ale contului, în sarcinile programate ale serverului, în baza de date. De aceea curățăm cu acces la server, cu administratorul de server și dezvoltatorul în aceeași echipă, în TheFactory.

Cine lucrează

  • Administratorul de server izolează contul, citește jurnalele și securizează serverul.
  • Dezvoltatorul curăță codul și baza de date și actualizează platforma.
  • Specialistul SEO curăță indexul Google (paginile pe care Google le poate arăta în rezultate) și se ocupă de cererea de revizuire din Search Console.

  1. Izolăm.

    Oprim scripturile străine și, dacă e nevoie, punem temporar site-ul în mentenanță, ca vizitatorii să nu mai fie infectați sau redirecționați.

  2. Păstrăm o copie.

    Salvăm starea infectată separat, pentru analiză, înainte să schimbăm ceva.

  3. Găsim calea de intrare.

    Citim jurnalele serverului și comparăm fișierele cu originalele, ca să știm pe unde s-a intrat și de când.

  4. Curățăm.

    Scoatem codul străin din fișiere și din baza de date, ștergem utilizatorii falși și ușile ascunse, înlocuim nucleul platformei și pluginurile cu versiuni oficiale.

  5. Închidem intrarea.

    Actualizăm, schimbăm parolele și cheile, corectăm permisiunile, punem firewall și limite la autentificare.

  6. Curățăm Google.

    Paginile de spam create de atacator primesc răspunsul corect ca să iasă din index, iar în Search Console trimitem cererea de revizuire pentru avertismentul de securitate, cu descrierea lucrului făcut.

  7. Urmărim.

    Verificăm după curățare dacă apar fișiere sau redirecturi noi și dacă Google scoate avertismentul.

Platforme: curățăm site-uri pe WordPress și WooCommerce, Magento, PrestaShop, OpenCart, Next.js și React și aplicații custom, inclusiv pe site-uri găzduite la alți furnizori, dacă primim acces. Pe Shopify, serverul e al platformei, așa că lucrăm în temă și pe aplicațiile instalate.

După un atac cu pagini de spam, traficul poate rămâne jos și după curățare. Recuperarea pozițiilor e lucru de SEO, nu de securitate. Vezi „Traficul a scăzut” și serviciul Optimizare SEO.

Cum verifici dacă site-ul e virusat

  1. Verifică raportul Google.

    În Search Console, la „Securitate și acțiuni manuale”, „Probleme de securitate”. Dacă e gol, Google nu a marcat site-ul, ceea ce nu înseamnă neapărat că e curat.

  2. Verifică starea în Google Safe Browsing.

    Pe transparencyreport.google.com/safe-browsing/search introdu adresa site-ului. Îți arată dacă Google îl consideră periculos.

  3. Caută pagini străine în Google.

    Scrie „site:adresa-ta.ro” și, separat, „site:adresa-ta.ro viagra”, „site:adresa-ta.ro casino” sau cuvinte în japoneză. Orice pagină pe care nu ai creat-o e un semn.

  4. Intră pe site ca un vizitator.

    De pe telefon, pe date mobile, din rezultatele Google, nu tastând adresa. Unele redirecturi apar doar așa.

  5. Verifică utilizatorii din administrare.

    Uită-te la lista de administratori și la data ultimei autentificări. Orice cont necunoscut se notează, nu se șterge încă.

Notă: un scanner online, ca Sucuri SiteCheck sau VirusTotal, vede doar ce se afișează public. Un rezultat „curat” nu exclude cod ascuns pe server.

Ce se rezolvă repede și ce durează

Izolarea site-ului și schimbarea parolelor se fac primele. Curățarea completă depinde de cât de adânc a intrat codul străin și de câte site-uri sunt în același cont. După primul diagnostic îți spunem ce am găsit și ce urmează.

Avertismentul din browser și din Google îl scoate doar Google, după cererea de revizuire. Google spune că revizuirea durează de la câteva zile la câteva săptămâni. Paginile de spam pot rămâne o vreme în rezultate până când Google le retrece. Nu putem garanta că un site nu va mai fi atacat niciodată; putem închide calea prin care s-a intrat și reduce mult șansele unui nou atac.

Exemplu
Ce facem noi și unde ritmul îl dă Google

lucrăm noiritmul îl dă Googlepoate dura mai mult

Un exemplu inventat, ca să vezi cum arată: lungimea barelor arată ordinea, nu zile exacte. Prin cererea de revizuire îi cerem lui Google să verifice din nou site-ul; duratele sunt cele spuse de Google.

Întrebări despre site-urile virusate

Pot curăța singur un site WordPress virusat cu un plugin de securitate?

Uneori, dacă infecția e superficială. Pluginul vede însă doar fișierele site-ului, nu și restul contului de găzduire, sarcinile programate sau toate tabelele din baza de date. Dacă site-ul se reinfectează după câteva zile, a rămas o ușă ascunsă.

E suficient să restaurez un backup?

Doar dacă știi sigur că backupul e de dinainte de atac și închizi calea de intrare. Altfel, restaurezi aceeași vulnerabilitate, iar atacatorul revine. Multe infecții stau ascunse săptămâni înainte să se vadă.

Cum scap de avertismentul roșu din Chrome?

După ce site-ul e curat, trimiți cererea de revizuire din Search Console, la „Probleme de securitate”. Google verifică site-ul și scoate avertismentul dacă nu mai găsește probleme. Fără cerere, avertismentul poate rămâne.

De ce apar în Google pagini în japoneză cu domeniul meu?

E un atac numit japanese keyword hack. Atacatorul creează automat mii de pagini de spam pe domeniul tău, ca să profite de încrederea pe care o are Google în el. Se curăță pe server, iar paginile se scot apoi din index.

Site-ul meu nu e găzduit la voi. Ne puteți ajuta?

Da, cu acces la contul de găzduire sau la server și la administrarea site-ului. Dacă găzduirea nu permite curățarea completă sau izolarea, îți spunem clar ce trebuie schimbat.

Probleme înrudite: Traficul a scăzut · Nu apar în Google · Site-ul e lent

Site-ul tău e virusat? Spune-ne ce vezi

Scrie adresa site-ului și ce ai observat: avertisment, redirect, pagini străine, cont suspendat. La „Ce te interesează” alege „Site virusat”. Un specialist îți spune ce poți face până la intervenție și cum îl curățăm, pe server și în cod.

Ne scrii sau ne suni în programul afișat, de luni până vineri, între 09:30 și 17:30, și programăm intervenția. Telefon: 031 401 4100, email: info@seo-factory.ro.

Folosim datele doar ca să-ți răspundem la această cerere. Operator: THEFACTORY S.R.L. (SEO Factory). Le păstrăm 12 luni de la ultimul contact. Detalii și drepturile tale în Politica de confidențialitate.