Вирус на блоге — найти и обезвредить

А как Вы будете избавляться от вируса?

Вирус в блоге на WordPress подобен злокачественной опухоли в организме. Лечится такое кибер-заболевание также хирургическим вмешательством в файловую систему блога.

В подавляющем большинстве случаев вирус «поражает» (внедряется) в файлы шаблона темы блога. Так как шаблон – обновляется реже остальных файлов на блоге и вирус может обосноваться на блоге на очень длительное время.

В этой статье мы поговорим о том, как найти и обезвредить вирус, внедрившийся в тему блога. А также о том, как минимизировать риски летального исхода вашего блога после такой «операции».

С чего все начинается

Зайдя очередной раз на свой блог, вы вместо него видите неприятное красное предупреждения браузера, поисковой системы или локального антивируса на компьютере.

Предупреждение о вирусе в браузере

С этого момента время начинает играть против вас – чем дольше вирус будет оставаться на блоге, тем больше ваших читателей узнают о потенциальной опасности нахождения на вашем блоге и тем больше интернет-сервисов (ПС, контекст, сервисы монетизации) отключат или заблокируют вас за распространение вирусов.

Подтверждаем диагноз

Прежде чем приступать к срочной операции, стоит подтвердить «диагноз». Для этого подойдут встроенные проверки на вирусы в инструментах для вебмастеров Яндекса, Google или сервисы типа онлайн-сканера Dr.Web.

Инструмент проверки сайтов на вирусы в Яндекс.Вебмастере

Если вы убедились, что на блоге вирус (а не подозрительный JavaScript код, внедренный новым плагином), то начинаем принимать меры.

Только будучи на 100% уверенным в необходимости вмешательства, стоит начинать «операцию».

Ищем «очаг заражения»

Итак, начинаем подготовку к операции. Для начала, нужно определить: где расположен «орган», который мы будем лечить.

Вначале определим, где находится папка с файлами активного шаблона блога. Простой способ определить это – посмотреть путь скриншота активной темы блога.

Узнаем расположение темы на хостинге

(Заходим в «Внешний вид» – «Темы» – «Текущая тема» и смотрим информацию о скриншоте, путь после домена — и есть путь в папке на хостинге к активной теме.)

Далее нужно определить, какие файлы инфицированы. Простой способ сделать это – посмотреть дату изменения файлов в папке с активной темой блога.

Файл имеет дату обновления отличную от других

Файлы с самой свежей датой изменения, сопоставимой с предполагаемым временем заражения блога вирусом, – скорее всего, заражены вирусом. (Например, если вы устанавливали или меняли тему год назад, у большинства файлов дата будет в районе 2011 года, а  если один или несколько файлов имеют дату изменения пару дней назад, то эти файлы и были заражены вирусом.)

Готовим «операционный стол»

Когда вы определили зараженный файлы, вам стоит скачать их на свой компьютер, сделать их резервную копию (чтобы, в случае неудачи, можно было повторить попытку или обратиться за помощью) и начать готовить к «операции». Внимание! Локальный антивирус может тут же их удалить после скачивания, что помешает их лечению. Если это произойдет, антивирус можно отключить на время проведения манипуляций.

Дальше вам понадобиться текстовый редактор с поддержкой UTF-8 для редактирования кода зараженных файлов, я рекомендую популярную бесплатную программу Notepad++.

Обезвреживаем вирус

Теперь настал самый ответственный момент – удаление вредоносного кода. Открываем в текстовом редакторе с поддержкой UTF-8  файлы, в которых вы подозреваете наличие вируса, и начинаем их изучение. Наша цель — найти часть кода, которую вписал вирус.

Подозрительный код в последней версии

Будет очень хорошо, если у вас есть (или вы можете найти в Интернете) архив с вашей темой для сравнения файлов. Дело в том, что вирус обычно дописывает вредоносный код в конец файла, а имея его «чистую» версию, вы легко сможете увидеть лишний код в конце файла.

Обнаруживаем подозительный код

Еще один способ найти скрытый дописанный код – поставить перенос строк в редакторе (вид — перенос строк), если появился код. Вирус часто перед кодом ставит несколько сотен пробелов, и визуально код не виден даже на широкоформатных мониторах.

Если простые методы не дают результатов, вы можете поискать в коде функции:

eval, base64_decode, gzuncompress, gzinflate, ob_start, str_rot13

Как правило, их используют для кодирования или скрытия вредоносного кода, часто вирусы вписывают нечитаемые конструкции типа таких:

eval(base64_decode("ZXJyb3JfcmVwb3J0aW5nKDApOw0KICRxYXpwbG09aGVhZGVyc19zZW50KC
k7DQogaWYgKCEkcWF6cGxtKXsNCiAkcmVXJlcj0kX1NFUlZFUlsnSFRUUF9SRUZFUkVSJ107DQogJHVhZz0
kX1NFUlZFUlsnSFRUUF9VU0VSX0FHRU5UJ107DQogaWYgKCR1YWcpIHsNZXhpdCgpOw0KoJCX0="));

После того, как вы удалили подозрительный кусок кода, сохраните файл и закачайте его обратно на хостинг. После — поверьте блог антивирусом и способами, описанными в разделе «Подтверждаем диагноз». Стоит принять во внимание, что заглушка поисковых систем снимается не моментально, поэтому проверяйте степень успешности «лечения» профессиональными средствами вебмастерских панелей.

Если сервисы не видит больше вируса и блог работает без сбоев – можно вас поздравить, в иных случаях «операцию» можно повторить или обратиться к более квалифицированных «хирургам».

Внимание! Самолечение может быть опасным для здоровья вашего блога и душевного самочувствия его автора!