Кейсы по лечению сайтов — примеры восстановления после вирусов

01 WordPress

Проблема

Сайт на WordPress заражён множеством веб-шеллов и бэкдоров. Вредоносные файлы используют обфускацию (base64, hex2bin, goto) и предоставляют полный доступ к файловой системе. Обнаружена критическая уязвимость в пакете Guzzle (используется в Yoast SEO), позволяющая выполнять системный код через GET-параметры.

Решение

Полное сканирование и удаление всех шеллов и бэкдоров.
Замена ядра WordPress и всех плагинов на оригинальные дистрибутивы.
Обновление Guzzle и установка дополнительных правил в .htaccess для блокировки опасных запросов.
Сброс всех запущенных процессов, оставленных злоумышленниками.
Установка защиты.

Результат

Сайт полностью очищен, работоспособность восстановлена. Уязвимости закрыты.

02 WordPress

Проблема

Сайт атакован через уязвимости в плагинах Advanced Custom Fields (ACF) и Contact Form 7, позволяющие загружать произвольные файлы и выполнять код. Злоумышленники разместили множество веб-шеллов, в том числе PowerShell-скрипт, скачивающий вредоносные компоненты с удалённого сервера (Cobalt Strike). Обнаружен шелл, позволяющий выполнять системные команды через параметр GET.

Решение

Удаление всех вредоносных файлов (включая шеллы и загрузчики).
Обновление WordPress и всех плагинов до актуальных версий.
Повышение версии PHP до 8.2 и исправление ошибок совместимости.
Настройка .htaccess для блокировки прямого выполнения PHP в уязвимых директориях.

Результат

Сайт очищен, уязвимости закрыты. Обновлены все компоненты.

03 WordPress

Проблема

Заражение шеллами через уязвимость в пакете Guzzle (используется в Yoast SEO). Злоумышленники могли передавать системные команды через GET-параметры, получая доступ к файловой системе и выполняя произвольный код на сервере.

Решение

Удаление всех вредоносных файлов и шеллов.
Обновление Wordpress и всех установленных плагинов.
Обновление ядра WordPress и установка защиты в .htaccess.
Ручная проверка подозрительных файлов и сброс зависших процессов.

Результат

Все вирусы удалены, закрыты все уязвимости, работоспособность сайта восстановлена в сжатые сроки.

04 WordPress

Проблема

Сайт заражён через уязвимость в плагине Elementor (CVE-2022-04286). Злоумышленники загрузили множество шеллов, бэкдоров с функцией самокопирования, файловых менеджеров и организовали спам-рассылку с сайта.

Решение

Полное удаление всех вредоносных файлов и бэкдоров.
Обновление WordPress и всех плагинов с полной заменой файлов.
Установка дополнительной защиты в .htaccess от прямых запросов.
Исправление ошибок совместимости с PHP 8+.

Результат

Сайт очищен, спам-рассылка остановлена.

05 OpenCart

Проблема

Сайт на OpenCart взломан через множество уязвимостей: Directory Traversal + RCE в /admin/controller/marketplace/install.php, CSRF при смене пароля (CVE-2018-13067), SQL-инъекция в Divido Payment (CVE-2024-21514), а также наличие файла adminer.php и скрипта создания администратора в /image/user.php.

Решение

Удалены все вредоносные файлы и бэкдоры, включая adminer.php и user.php.
Закрыты уязвимости через обновление и правки в .htaccess.
Создана чистая копия сайта для безопасной работы.
Установлена специализированная защита.

Результат

Все уязвимости прикрыты, вредоносные файлы удалены.

06 1С Битрикс

Проблема

Взлом через уязвимость в модуле aspro.scorp (известная проблема). Обнаружены многочисленные шеллы, вредоносные .htaccess, вставки в системные файлы, бэкдоры с самокопированием, доступ к админке без пароля, спам-рассылка, php.ini с отключением безопасных настроек, скомпилированный ELF-файл, подключающийся к C&C-серверу.

Решение

Удаление всех вредоносных файлов, включая ELF-бинарники и php.ini.
Обновление ядра Bitrix и всех модулей с полной заменой файлов.
Установка защиты в .htaccess от прямых запросов и выполнения PHP в уязвимых папках.
Сброс всех процессов и очистка системы от спама.