Восстановление сайта после взлома

Несколько клиентов написали, что оплатили заказ, но деньги ушли непонятно куда. Полез в код страницы оформления и нашёл подменённые реквизиты в форме оплаты, чужие кошельки. Скрипт правил их на лету через JS-инъекцию в шаблоне. Вычистили инъекцию, проверили все шаблоны, поставили мониторинг изменений файлов. Деньги пострадавшим вернули из своего кармана, но хотя бы поток остановили в тот же день.

Search Console прислал уведомление о вредоносном ПО на сайте, в выдаче появилась плашка про опасный сайт. Для юридической практики это било по репутации сильнее, чем падение трафика. Нашли скрытые php-файлы в папке uploads, удалили, отправили запрос на пересмотр. Через два дня плашка ушла, ещё через неделю позиции восстановились.

Bitrix не обновлялся четыре года, прошлый админ говорил что и так работает. В итоге зашли через известную дыру в модуле, накатили майнер и пачку дорвеев. Лечение было полное: обновление ядра по шагам, переустановка модулей, чистка дополнительных таблиц в базе. Заняло около недели, но сайт ожил и стал заметно быстрее.

Старый разработчик ушёл с обидой, через месяц на сайт зашли по его FTP-логину и подменили контакты на чужие телефоны. Клиенты звонили незнакомым людям. Доступа к панели хостинга у меня тоже не было. Подняли всё через SSH у хостера, заблокировали FTP, выдали мне новую учётку с 2FA. Теперь пароли меняю сам после любого подрядчика.

После взлома с нашего домена начали уходить тонны спама, и письма от формы заявок перестали доходить, всё валилось в junk. Сначала почистили сайт от рассылающих скриптов, потом неделю восстанавливали репутацию домена: SPF, DKIM, DMARC, прогрев через нормальный SMTP. Через полторы недели открываемость вернулась к прежней.

Заметила в админке двух пользователей с правами администратора, которых я точно не создавала. Логины вида admin1 и support2. Прислала логи, мне их вычистили из базы за полчаса, заодно нашли два бэкдор-скрипта в загрузках. Поменяли все пароли, включая FTP и базу. Теперь раз в месяц проверяю список админов, привычка.

Утром открыл сайт клиники, а на главной чужой флаг и текст на арабском. Дефейс. Пациенты звонили, спрашивали, всё ли в порядке. Написал по рекомендации, через три часа главная была чистая, ещё через пару часов закрыли уязвимость в загрузчике файлов. Стыдно было, конечно, но обошлось без потери записей.

Сайт превратился в кашу: половина страниц 500, в админку не попасть. Бэкап у хостера был только недельной давности, но и за это спасибо. Развернули его, поверх аккуратно накатили правки, которые я успела сделать за неделю (по памяти и скриншотам). Параллельно нашли точку входа и закрыли. Ушло два дня вместо предполагаемой недели.

WordPress не обновлялся года полтора, висел старый плагин для форм. Через него и зашли, накатили майнер и пачку левых страниц. Сайт лечили посекторно: чистая копия ядра, переустановка плагинов из официального репозитория, аудит темы. Заодно настроили автообновления, чтобы такое не повторилось.

Хостинг прислал письмо, что сайт заблокирован за вредоносный код, и через час магазин упал. Было ощущение, что бизнес встал. Связались утром, к вечеру того же дня сайт уже работал. Вычистили шеллы, написали в поддержку хостера, разблокировку получили на следующий день.

Клиенты стали жаловаться, что со второго клика по любой странице сайт перебрасывает на онлайн-казино. Сама не могла поймать, открывала и всё было нормально. Оказалось, вирус сидел в одном из плагинов галереи и срабатывал по cookie. Нашёл, удалил, прошёлся по всем плагинам и теме, поменял пароли. К вечеру магазин снова работал чисто.

В выдаче Яндекса под нашим доменом полезли японские иероглифы и ссылки на левые страницы. Сайт визуально работал, но трафик за неделю просел в три раза. Чистили почти неделю: дорвейные php-файлы, инъекции в базу, правки .htaccess. Через две недели после повторной индексации иероглифы из выдачи ушли, позиции вернулись.