Usunięcie zaawansowanej infekcji WordPress

Wprowadzenie – zgłoszenie klienta

Klient zgłosił się z problemem „niedziałającej strony WordPress”. Przy próbie wejścia na witrynę użytkownicy widzieli albo komunikat z oprogramowania antywirusowego ostrzegający, że strona może zawierać niebezpieczne treści i została zablokowana ze względów bezpieczeństwa:

albo widzieli taki ekran zamiast strony głównej:

Celem było pełne oczyszczenie i odwirusowanie WordPress, usunięcie przyczyny problemu oraz przywrócenie bezpieczeństwa i reputacji domeny.

Objawy i pierwsze sygnały problemu

Pierwsze symptomy wskazywały na zaawansowaną infekcję:

• strona była blokowana przez oprogramowanie antywirusowe użytkowników,
• pojawiały się nieautoryzowane zmiany w systemie,
• po usunięciu jednego podejrzanego użytkownika w bazie danych, po chwili pojawiał się kolejny,
• w systemie znajdowały się wtyczki, których klient nigdy nie instalował.

 

Co istotne – przez długi czas strona mogła sprawiać wrażenie działającej poprawnie, a infekcja rozwijała się w tle bez wiedzy właściciela.

Skala i charakter infekcji

Analiza wykazała, że nie była to pojedyncza luka ani prosty malware, lecz rozbudowany, wielowarstwowy mechanizm infekcji:

• blisko 30(!) wtyczek o losowych nazwach,
• kilku nieautoryzowanych użytkowników z uprawnieniami administratora,
• mechanizm automatycznego odtwarzania dostępu po usunięciu użytkownika,
• zmodyfikowany plik index.php zawierający backdoor,
• ukryte pliki PHP w nietypowych katalogach, m.in. .well-known i głęboko zagnieżdżonych strukturach,
• wykorzystanie harmonogramu zadań WordPressa (cron) do utrzymywania infekcji.

 

Dodatkowo na stronie znajdowało się około 2000 fałszywych wpisów blogowych, które zostały zaindeksowane przez wyszukiwarki.

Diagnoza – jak działał wirus

Złośliwe oprogramowanie działało w kilku etapach:

1. Stały dostęp – backdoor w plikach głównych umożliwiał pobieranie i uruchamianie kodu z zewnętrznego serwera.
2. Trwałość infekcji – zadania cron przywracały użytkowników i pliki po ich usunięciu.
3. SEO spam – automatyczne generowanie tysięcy wpisów z treściami spamowymi, często z datami cofniętymi nawet o 2 lata.
4. Ukrywanie śladów – pliki umieszczone w katalogach, które rzadko są ręcznie sprawdzane.

 

W praktyce oznacza to, że infekcja mogła działać przez bardzo długi czas, wpływając negatywnie na reputację domeny i widoczność strony w Google.

Podjęte działania naprawcze (krok po kroku)

Proces naprawy został przeprowadzony kompleksowo:

1. Odcięcie źródła infekcji
   – usunięcie złośliwego kodu z plików głównych
   – dezaktywacja mechanizmów reinfekcji
2. Przywrócenie czystego rdzenia WordPressa
   – zastąpienie plików systemowych wersją z oficjalnego repozytorium
3. Weryfikacja wtyczek
   – usunięcie wszystkich fałszywych rozszerzeń
   – ręczne przywrócenie tylko zweryfikowanych wtyczek
4. Kontrola motywu
   – sprawdzenie plik po pliku pod kątem złośliwego kodu
5. Czyszczenie bazy danych
   – usunięcie nieautoryzowanych użytkowników
   – likwidacja mechanizmów automatycznego ich tworzenia
   – trwałe usunięcie około 2000 spamowych wpisów
6. Sprawdzenie harmonogramu zadań
   – usunięcie podejrzanych wpisów cron odpowiedzialnych za reinfekcję
7. Zmiana wszystkich haseł
   – zmiana haseł FTP, bazy danych, użytkowników oraz wygenerowanie nowych kluczy SALT

Efekty i obecny stan strony

Po zakończeniu prac:

• strona działa stabilnie i poprawnie,
• nie pojawiają się nowi użytkownicy ani podejrzane pliki,
• system WordPress jest czysty i kontrolowany,
• przygotowano plan dalszych działań SEO i bezpieczeństwa.

 

Należy zaznaczyć, że blokada antywirusa może utrzymywać się jeszcze przez pewien czas, nawet po pełnym oczyszczeniu strony. Jest to efekt wcześniejszej reputacji domeny i wymaga aktualizacji statusu bezpieczeństwa po stronie wyszukiwarek i systemów ochrony.

Wnioski i rekomendacje dla właścicieli stron WordPress

Ten przypadek pokazuje, że:

• infekcja może działać miesiącami, a nawet latami bez oczywistych objawów,
• SEO spam realnie szkodzi widoczności i reputacji strony,
• samo usunięcie jednego elementu (np. użytkownika lub pliku) nie wystarcza,
• konieczne jest systemowe podejście obejmujące pliki, bazę danych i mechanizmy automatyzacji.

 

Moje rekomendacje:

• regularne audyty bezpieczeństwa,
• monitoring zmian w plikach i bazie danych,
• bieżące aktualizacje WordPressa i wtyczek,
• szybkie reagowanie na pierwsze sygnały ostrzegawcze.

Podsumowanie

Klient odzyskał:

• bezpieczną, stabilną stronę WordPress,
• pełną kontrolę nad systemem,
• realną szansę na odbudowę widoczności w Google,
• jasny plan dalszych działań zabezpieczających.

 

To case study pokazuje, że nawet bardzo zaawansowane infekcje można skutecznie usunąć – pod warunkiem właściwej diagnozy i kompleksowego podejścia.