Site invadido ou com malware: primeiros passos

Este artigo é para quem percebeu sinais de invasão no site: páginas de apostas ou spam, redirecionamento para outro endereço, uma falsa tela de "não sou robô", arquivos estranhos ou aviso do Google. Ele traz o procedimento que a equipe da ValueHost recomenda para sites WordPress.

De onde vêm as invasões

Nos casos analisados pela equipe, a entrada costuma ser pela aplicação: plugin ou tema desatualizado, plugin pirata ou "ativador", ou senha vazada do WordPress, do painel ou do FTP. Por isso, limpar os arquivos sem corrigir a causa faz a infecção voltar.

Veja o que foi detectado

No cPanel, abra a ferramenta Imunify360. Ela mostra os arquivos e eventos que a proteção do servidor identificou como maliciosos, com as datas. Isso ajuda a descobrir quando a infecção começou.

Passo a passo de limpeza (WordPress)

1. Reinstale os arquivos do WordPress. No cPanel, abra o WP Toolkit (no Plesk, a ferramenta WordPress), use Verificar a integridade do WordPress e depois Reinstalar o WordPress Core. Isso troca os arquivos do WordPress por originais e limpos.
2. Remova o que sobrou. Apague arquivos e conteúdos maliciosos que não fazem parte do WordPress. Use a ferramenta Verificador de vírus do cPanel para uma varredura. A varredura ajuda, mas pode não encontrar tudo.
3. Troque todas as senhas. Painel (cPanel ou Plesk), usuários de banco de dados MySQL e todos os administradores do WordPress. Use senhas novas, fortes e nunca usadas antes.
4. Atualize e enxugue. Atualize todos os plugins e temas em uso e remova os que não usa.
5. Mantenha a manutenção. Crie uma rotina de atualização do WordPress e dos plugins e de troca periódica de senhas.

Ative também a autenticação em dois fatores no painel e revise contas FTP e chaves SSH que você não reconhece.

Se quiser uma camada extra no WordPress, use um plugin de segurança, como o Wordfence (de outra empresa). O Imunify360 já faz a varredura de arquivos no servidor, e as varreduras pesadas do plugin contam nos limites de CPU e I/O da conta (veja "Erro 503 ou 508: limites de recursos da conta").

Restaurar um backup ajuda?

Restaurar uma data anterior à infecção pelo JetBackup pode trazer o site de volta rapidamente (veja "Como restaurar arquivos, banco de dados ou e-mails pelo JetBackup"). Mas a falha que permitiu a invasão continua lá. Depois de restaurar, faça os passos 3 a 5 acima.

Quer que a equipe investigue?

A equipe pode fazer uma varredura e limpeza na conta e analisar os registros do servidor para indicar como o acesso aconteceu. Para não perder evidências:

• não exclua a conta nem apague tudo antes de abrir o ticket;
• informe a data e o horário em que percebeu o problema;
• envie exemplos de URLs ou arquivos suspeitos.

Os registros de acesso do site também ficam disponíveis para você no cPanel, na ferramenta Acesso Bruto. Veja "Onde ver os logs de acesso do site".

Vários sites da revenda infectados

Se o mesmo arquivo malicioso apareceu em várias contas da sua revenda, o problema pode ser o acesso ao WHM. Veja "Revenda com vários sites infectados: como proteger o WHM".

Se não resolver

Abra um ticket informando o domínio afetado, o que você observou (com capturas de tela), quando começou e o que já foi feito. Não envie senhas no ticket.