Вредонос, который сам себя воскрешает — и как с этим жить

Подписан на блог Sucuri — вышла запись про сложный вирус, который сам себя восстанавливает. Прочитал — и понял, что это не редкость, а реальная угроза для любого сайта на WordPress. Странно, что многие думают: «если почистим — всё будет нормально». А тут — не так. Вредонос не просто живёт, он умрёт, но тут же родится снова.

О чём речь и почему я считаю это важным для сайта

Речь о вредоносной системе, которая не просто заражает сайт — она умрёт, но тут же воскреснет. Удалишь файл — он вернётся. Удалишь из базы — через минуту снова появится. Это не ошибка, а сознательный дизайн: вредонос живёт в восьми местах сразу — в файлах, базе, кеше, даже в памяти. И всё это работает как единая сеть. Мне важно это подчеркнуть, потому что владельцы сайтов думают: «если почистим — будет нормально». А тут — нет. Пока не закрыта причина, заражение вернётся. И не обязательно через админку — через уязвимость в теме, плагине или даже в настройках PHP.

Как это устроено — что тут вообще происходит

Вредонос работает как живой механизм. Он не просто вставляет код. Он создаёт замкнутую систему: если один компонент удаляется — другой его восстанавливает. Например, файл .user.ini запускает скрипт до загрузки WordPress. Тот, в свою очередь, проверяет, есть ли скрытый файл. Если нет — включает другой. А если и тот удалили — смотрит в базу, в кеш, в ZIP-архив. Даже если убрать всё с диска, он восстановится из базы. Или из памяти. Это не просто вирус — это система, которая сама себя защищает. И она работает даже на сайтах с «нормальной» защитой, если не закрыть все точки входа.

Как понять, что это касается вашего сайта

Я проверяю это первым делом. Смотрю, нет ли подозрительных файлов в wp-content — особенно .user.ini, advanced-cache.php, db.php. Проверяю, не содержат ли они кода, который не должен быть там. Следующее — проверка базы: ищутся строки с gzip, base64, или странные опции, которые не должны быть в таблице wp_options. Также смотрю, нет ли в темах вставок в functions.php, особенно с маркерами вроде «begin» и «end». И главное — если сайт внезапно стал медленным, появился странный JS, или поисковики заблокировали его — это красный флаг. У нас мониторинг каждые несколько минут, 24/7 — и если что-то странное, мы видим это раньше, чем клиент.

Что с этим делать — как я это проверяю и закрываю

Сначала — резервная копия. Без неё не начинаю. Потом — глубокая проверка: файлы, база, кеш, настройки PHP. Удаляю всё подозрительное, но не просто удаляю — проверяю, откуда оно могло прийти. Ставлю в план на неделю — не просто почистить, а найти причину: уязвимость в теме, плагине, старой версии WordPress. Закрываю уязвимость, обновляю всё, что нужно. И после этого — проверяю, не вернётся ли что-то. Потому что если не закрыть причину — вернётся. И не через неделю, а через день.

Что здесь даёт поддержка — как мы закрываем угрозу навсегда

Мы не просто убираем вредонос. Мы находим, откуда он пришёл, и закрываем точку входа. У нас мониторинг доступности и ключевых страниц каждые несколько минут, 24/7 — значит, мы видим сбой раньше, чем клиент. И если вредонос вдруг попробует вернуться — мы это заметим. Главное — не чистка, а профилактика. Почистить мало — надо закрыть причину, иначе вернётся. Заражают не «хакеры, выбравшие вас», а боты, массово сканирующие уязвимости. Наши клиенты на поддержке — у них всё это закрывается заранее. Приглашаю на бесплатный аудит безопасности.