Pierwsze kroki
Co zrobić od razu.
- Nie panikuj i nie usuwaj plików „na oko". Usunięcie jednego podejrzanego pliku bez pełnego przeglądu prawie nigdy nie kończy problemu — patrz dlaczego jednorazowe czyszczenie nie wystarcza.
- Zrób kopię obecnego stanu strony. Zanim cokolwiek zmienisz, zabezpiecz pliki i bazę danych w obecnym stanie — to jedyny dowód na to, co dokładnie się stało.
- Ogranicz publiczny dostęp do strony, jeśli to możliwe. Tymczasowa blokada dostępu (np. na poziomie hostingu) ogranicza dalsze szkody, np. dalsze indeksowanie fałszywych podstron przez Google.
- Zmień hasła — ale nie tylko do WordPressa. Hasło do panelu WordPress, do hostingu, do FTP/SFTP i do bazy danych, jeśli atakujący mógł mieć do niej dostęp.
- Nie loguj się i nie pracuj na zainfekowanym komputerze bez sprawdzenia go. Część infekcji WordPressa zaczyna się od przejętych danych logowania na komputerze administratora.
Czego nie robić.
Nie przywracaj automatycznie najnowszej kopii zapasowej bez sprawdzenia, czy sama nie zawiera już infekcji — jeśli atak trwał dłużej, backup sprzed kilku dni też może być zainfekowany. Nie kontaktuj się z atakującym, jeśli zostawił jakąkolwiek wiadomość czy żądanie okupu. Nie płać za „ekspresowe odblokowanie", zanim nie wiadomo, co dokładnie się stało.
Kiedy wezwać pomoc.
Jeśli nie masz pewności, co dokładnie znalazłeś, albo strona obsługuje płatności czy dane klientów — to moment na pełną analizę powłamaniową, nie samodzielne próby. W opisanym przez nas case study prawdziwego włamania samodzielna, częściowa naprawa doprowadziła do ponownej infekcji po dwóch dniach.