Site invadido continua no ar, servindo outra pessoa. O malware fica, redireciona parte das visitas, injeta página que você não escreveu e usa o seu domínio para o que o invasor precisa.
O prejuízo maior não é o site fora do ar por um dia. É o tempo em que ele esteve no ar comprometido, com a reputação do domínio caindo e o formulário entregando dado em lugar que não é o seu.
Como saber se o site foi invadido
Os sinais quase nunca aparecem pra quem cuida do site. Aparecem pra quem visita.
- O navegador mostra um aviso vermelho de site inseguro antes da sua página.
- Parte das visitas cai em outro endereço.
- O site começa a mandar spam.
- A hospedagem mandou aviso de arquivo suspeito.
- Existe administrador no painel que ninguém do time criou.
Tem campanha rodando? Pause agora. Com o site marcado como inseguro, o anúncio continua sendo pago, mas quem clica encontra o aviso vermelho antes da sua página.
A primeira hora: conter antes de entender
Troque a senha de administrador, a de acesso ao servidor e a do banco de dados. Enquanto o acesso do invasor continua vivo, qualquer limpeza é desfeita no minuto seguinte.
Ainda não é hora de apagar arquivo. Remover antes de mapear deixa pra trás justamente o que reinstala o resto.
Onde o código se esconde
Procure o padrão em todo o servidor, não só no site que reclamou. Malware desse tipo se instala em pasta que carrega antes dos plugins, se copia para dentro dos temas e guarda uma cópia de reserva em outra pasta para se reinstalar sozinho.
Existe quase sempre um arquivo que confere se os outros sumiram e os recria. Remover o malware sem achar esse arquivo devolve tudo ao lugar na primeira visita ao site.
Ele se apaga depois de rodar, então não aparece numa busca feita com pressa.
Remover e conferir
Saem os arquivos plantados, as pastas de reserva e os administradores ocultos. Depois, confira usuário por usuário, porque o malware esconde da lista do painel os usuários que ele criou.
Fechar a porta de entrada
Quase sempre a porta é um plugin desatualizado com falha conhecida ou uma senha vazada. Atualize o que estava desatualizado, corrija o que a auditoria apontou e bloqueie o que estava aberto.
Site limpo com a mesma porta aberta é site infectado de novo.
Depois da limpeza
Registre por escrito o que foi encontrado, desde quando estava lá, o que foi removido e o que foi mudado. Se houve exposição de dado, isso precisa estar no relatório.
A limpeza resolve o hoje. O que mantém o site limpo depois é atualização aplicada e alguém olhando, e é isso que o Secure faz todo dia.
