Usuwanie włamu WordPress kosztuje 600 zł netto za jedną domenę i obejmuje wyczyszczenie plików oraz bazy danych ze złośliwego kodu, zamknięcie luki i zgłoszenie witryny do ponownego sprawdzenia w Google. Cena nie obejmuje odbudowy serwisu, dla którego nie istnieje żadna kopia zapasowa.
Wycena i diagnoza są bezpłatne. Płatność następuje po wyczyszczeniu strony, na podstawie faktury VAT.
Usuwanie włamu WordPress to ręczne wyczyszczenie plików i bazy danych z kodu dopisanego przez atakującego oraz zamknięcie luki, przez którą wszedł. Usługa kosztuje 600 zł netto i przebiega w pięciu krokach: kopia powłamaniowa, skan plików i bazy, usunięcie backdoorów, utwardzenie instalacji, zgłoszenie strony do ponownego sprawdzenia w Google. Najczęstsze typy infekcji to japanese keyword hack, pharma hack, wp-vcd, doklejone przekierowania na kasyno oraz kod zakodowany w base64. Typowe objawy to przekierowanie strony na obcy adres, komunikat o możliwym zhakowaniu witryny w wynikach wyszukiwania, nowy administrator w panelu i blokada konta przez hosting.
Usuwanie wirusa z WordPressa kosztuje 600 zł netto za jedną domenę i jest to cena stała, niezależna od liczby zainfekowanych plików oraz od typu infekcji. Kwota obejmuje pełny zakres prac: analizę, czyszczenie, aktualizacje i zgłoszenie strony do ponownego sprawdzenia w Google. Nie doliczamy opłat za tryb pilny ani za weekend, a płatność następuje dopiero po tym, jak strona wraca do poprawnego działania.
Poza ceną podstawową pozostają dwie sytuacje. Pierwsza to serwis, w którym atakujący skasował dane, a klient nie ma żadnej kopii zapasowej - wtedy potrzebna jest odbudowa strony i wycena jest indywidualna. Druga to hosting współdzielony z kilkunastoma zainfekowanymi domenami na jednym koncie FTP, gdzie każda kolejna domena rozliczana jest osobno. Stała cena wynika z tego, że przebieg prac jest za każdym razem taki sam.
| Cena usługi | 600 zł netto (738 zł brutto) za jedną domenę |
|---|---|
| Czas realizacji | do 24 godzin od otrzymania dostępów FTP i do panelu |
| Płatność | przelewem po usunięciu włamu, faktura VAT |
| Potrzebne dostępy | FTP lub SSH, panel hostingu, konto administratora WordPress |
| Czego cena nie obejmuje | odbudowy serwisu bez kopii zapasowej, migracji hostingu, przebudowy strony |
Usuwanie złośliwego kodu przebiega w pięciu krokach, od zabezpieczenia stanu powłamaniowego po zgłoszenie strony do ponownej weryfikacji w Google. Każdy krok kończy się wpisem w raporcie, który otrzymujesz razem z fakturą.
Kolejność kroków jest stała, natomiast czas poszczególnych etapów zależy od tego, z jakim typem infekcji mamy do czynienia.
Usuwamy sześć najczęstszych typów włamań na WordPress: japanese keyword hack, pharma hack, wp-vcd, przekierowania na strony spamowe, backdoory oraz kod zakodowany w base64. Każdy z nich zostawia inne ślady i wymaga innego sposobu czyszczenia.
W wynikach Google zamiast Twoich stron pojawiają się tytuły w języku japońskim, a witryna ma nagle kilka tysięcy zaindeksowanych adresów. Atakujący dopisuje się do mapy witryny i generuje podstrony ze sklepem, a często dodaje też własne konto w Search Console.
Strona wyświetla się poprawnie użytkownikom, ale robotowi Google podaje treści o lekach na receptę. Kod rozpoznaje user agenta i serwuje inną wersję strony, dlatego infekcja bywa niewidoczna w przeglądarce przez wiele tygodni.
Infekcja przychodzi razem z motywem lub wtyczką pobraną z nielegalnego źródła i dopisuje się do pliku functions.php oraz do plików class.theme-modules.php. Po usunięciu samego kodu wraca przy pierwszym wejściu na stronę, jeśli nie skasuje się wszystkich nośników.
Strona WordPress przekierowuje na inną stronę, najczęściej na kasyno lub sklep z podróbkami, i dzieje się to tylko na telefonie albo tylko przy wejściu z wyników wyszukiwania. Kod siedzi w pliku .htaccess, w nagłówku motywu lub w tabeli wp_options.
W panelu pojawia się administrator, którego nie dodawałeś, a w katalogach leżą pliki o nazwach udających systemowe, na przykład wp-cache.php czy wp-conf.php. Backdoor pozwala wrócić na stronę nawet po zmianie wszystkich haseł, dlatego samo skasowanie widocznego wirusa nie wystarcza.
W plikach motywu widać długie ciągi znaków w funkcjach base64_decode, eval albo gzinflate, zwykle w jednej linii na początku pliku. Taki zapis ukrywa właściwą treść skryptu i najczęściej służy do pobierania kolejnych ładunków z zewnętrznego serwera.
Niezależnie od typu infekcji rozpoznanie zaczyna się od tych samych sygnałów widocznych dla właściciela strony.
Zhakowaną stronę WordPress rozpoznaje się po przekierowaniach, ostrzeżeniach w wynikach wyszukiwania, blokadzie hostingu i zmianach w panelu administracyjnym, których nikt z zespołu nie wprowadzał. Wystarczy jeden z poniższych objawów, żeby uznać serwis za zainfekowany.
Po rozpoznaniu objawów pozostaje decyzja, czy stronę czyścić, czy odtworzyć z kopii zapasowej.
Odwirusowanie usuwa infekcję razem z jej przyczyną, a przywrócenie kopii zapasowej cofa serwis do stanu sprzed awarii bez naprawiania luki. Poniższe zestawienie pokazuje, kiedy sprawdza się każde z tych rozwiązań.
Zachowuje wszystkie treści, zamówienia i komentarze dodane po dacie włamania. Obejmuje znalezienie wektora ataku, więc infekcja nie wraca po kilku dniach. Wymaga więcej pracy ręcznej, ponieważ każdy zainfekowany plik trzeba porównać z wersją oryginalną.
Działa szybko, ale tylko wtedy, gdy kopia pochodzi sprzed daty włamania, a ta bywa wcześniejsza niż moment zauważenia problemu. Przywraca też podatną wersję wtyczki, przez którą atakujący wszedł, więc ponowna infekcja jest kwestią dni. Kasuje wszystko, co powstało po dacie wykonania kopii.
W praktyce łączymy oba podejścia: pliki multimediów bierzemy z kopii, a kod czyścimy ręcznie i uzupełniamy o aktualizacje. Po zakończeniu prac zostaje jeszcze odbudowa widoczności w wyszukiwarce.
Po usunięciu włamu trzeba zdjąć ostrzeżenia Google, wymienić dane dostępowe i odbudować pozycje utracone w czasie infekcji. Te trzy elementy odpowiadają za to, jak szybko ruch organiczny wraca do poziomu sprzed ataku.
Prośbę o ponowne sprawdzenie wysyła się z raportu problemów bezpieczeństwa w Search Console, po wcześniejszym usunięciu wszystkich zainfekowanych plików. Google weryfikuje zgłoszenie zwykle w ciągu 24 do 72 godzin, a po pozytywnej weryfikacji ostrzeżenie znika z wyników i z przeglądarek. Jeśli w zgłoszeniu zostanie pominięty choć jeden backdoor, kolejne rozpatrzenie trwa dłużej, dlatego zgłoszenie wysyłamy dopiero po pełnym skanie serwisu.
Strony zhakowane tracą pozycje na frazy, na których wcześniej były widoczne, ponieważ Google przez czas trwania infekcji indeksowało treści spamowe zamiast oferty. Odbudowa widoczności to już praca nad treścią i strukturą serwisu, którą prowadzi agencja SEOMOOD, gdzie pozycjonowanie stron rozliczane jest za efekt. Rozliczenie za efekt oznacza, że opłata naliczana jest za pozycje faktycznie osiągnięte w wynikach wyszukiwania, a nie za sam czas pracy. Dla serwisu po włamaniu punktem wyjścia jest zwykle audyt indeksacji i usunięcie z indeksu adresów, które wygenerował atakujący.
Tak, zmiana obejmuje hasła FTP, SSH, bazy danych, panelu hostingu i wszystkich kont administratorów WordPressa. Razem z hasłami wymieniamy klucze soli w pliku wp-config.php, co wylogowuje wszystkie aktywne sesje, w tym sesję atakującego.
Tak, monitoring skraca czas między infekcją a jej wykryciem z tygodni do godzin, co przekłada się na mniejsze straty w widoczności. W abonamencie prowadzimy aktualizacje wtyczek, kopie zapasowe poza serwerem i kontrolę sum kontrolnych plików rdzenia.
Ogólny przebieg czyszczenia serwisu opisuje instrukcja jak usunąć wirusa ze strony internetowej. Znajdziesz w niej listę miejsc, w których najczęściej siedzi doklejony kod, oraz zapytania do bazy danych używane przy czyszczeniu tabel. Instrukcja obejmuje też kolejność prac, której trzymamy się przy zleceniach.
Najczęściej zgłaszanym objawem jest sytuacja, w której strona WordPress przekierowuje na inną stronę, zwykle na kasyno lub sklep z podróbkami. Przekierowanie bywa warunkowe i pokazuje się tylko na telefonie albo tylko przy wejściu z wyników wyszukiwania. Z tego powodu właściciel serwisu przez wiele dni widzi stronę jako sprawną.
Infekcja, która zalewa indeks tysiącami obcych adresów, to japanese keyword hack. Rozpoznaje się ją po japońskich tytułach w wynikach wyszukiwania oraz po gwałtownym wzroście liczby zaindeksowanych podstron. Czyszczenie takiej infekcji wymaga dodatkowo usunięcia wygenerowanych adresów z indeksu.
Po zakończeniu prac warto ograniczyć ryzyko powtórki, czyli zabezpieczyć stronę WordPress przed kolejnym włamaniem. Podstawą są aktualizacje, kopie zapasowe trzymane poza serwerem i blokada wykonywania PHP w katalogach na pliki. Te same czynności wchodzą w skład abonamentu opiekuńczego.
Usuwanie włamu nie jest przebudową strony ani jej optymalizacją wydajności - po czyszczeniu serwis wygląda i działa tak, jak przed atakiem. Nie jest też jednorazowym skanem wtyczką bezpieczeństwa, ponieważ skaner rozpoznaje znane sygnatury, a nie rozpoznaje kodu napisanego pod jedną konkretną instalację. Nie jest wreszcie gwarancją, że włamanie nie powtórzy się nigdy: bez aktualizacji wtyczek i silnych haseł ta sama luka wróci przy kolejnej podatności w używanym motywie.
Tak, 600 zł netto to cena za jedną domenę niezależnie od typu infekcji i liczby zainfekowanych plików. Osobno wyceniana jest wyłącznie odbudowa serwisu, dla którego nie zachowała się żadna kopia zapasowa.
Tak, w większości przypadków strona pozostaje dostępna, ponieważ pracujemy na plikach bezpośrednio na serwerze. Wyjątkiem są infekcje wymagające wyłączenia serwisu na czas czyszczenia bazy, co trwa zwykle kilkanaście minut.
Tak, do pracy potrzebne są dostęp FTP lub SSH, dostęp do panelu hostingu oraz konto administratora WordPressa. Bez dostępu do plików nie da się usunąć backdoorów, a bez panelu hostingu nie sprawdzimy logów serwera.
Nie, ostrzeżenie znika dopiero po wysłaniu prośby o ponowne sprawdzenie w Google Search Console i pozytywnej weryfikacji. Zgłoszenie wysyłamy w ramach usługi, a weryfikacja trwa najczęściej od 24 do 72 godzin.
Tak, jeśli nie zostanie zamknięta luka, przez którą atakujący wszedł, albo w serwisie zostanie choć jeden backdoor. Dlatego w ramach usługi szukamy wektora włamania, a ponowne czyszczenie tej samej infekcji przez 30 dni jest bez dopłaty.
Nie, pracujemy zdalnie na terenie całej Polski, a biuro w Szczecinie obsługuje klientów, którzy wolą kontakt osobisty. Cały proces realizujemy przez FTP i panel hostingu, więc lokalizacja klienta nie wpływa ani na czas, ani na cenę.
Diagnoza jest bezpłatna. Wystarczy podać adres strony - sprawdzimy, jaki typ infekcji ją dotyczy i kiedy możemy zacząć czyszczenie. Prace ruszają po przekazaniu dostępów FTP i do panelu WordPress.
SEOMOOD sp. z o.o. sp.k.