Етапи видалення вірусів на сайті
01. Резервне копіювання
Проводимо комплексне резервне копіювання усього сайту перед початком очищення - файлів, директорій, дамп бази даних.
02. Сканування
Здійснюємо динамічне (DAST) й статичне (SAST) сканування сайту. Скануємо код, посилання, компоненти, модулі, плагіни, бібліотеки, сервіси. Скануємо сервер з допомогою утиліт. Перевіряємо та сортуємо файли різних розширень: виконувані (sh, php, py, exe, bat, rb, pl), службові (ini, inc, so, cfg, cgi, asp), розмітки (json, yml, html, htm, xml, shtml), стилі і скрипти (css, js), текстові (txt, rtf), документи (pdf, doc, xlsx, odt), архіви (tar, rar, zip, gz), зображення (ico, img, gif, png, bmp, webp), аудіо та відео, нестандартні (phtml, php.jpg, php3, php7 та ін.). Уважно обстежуємо файли конфігурації (index.php, header.php, footer.php, 404.php, view.php, htaccess, wp-settings, wp-admin, wp-includes, wp-config.php, wp-load.php, wp-blog-header.php, functions.php, robots.txt, sitemap.xml), log-файли (access.log, error.log). Перевіряємо задачі планувальника cron. Фіксуємо наявність будь-яких змін, запитів, директив в системі. Скануємо облікові записи і перевіряємо права доступу на запис/читання (file permissions, chmod, chown). Окремо перевіряємо MySQL базу даних. Додатково зв'язуємося з хостинг-провайдером та обґрунтовуємо, щоб він провів у себе антивірусну перевірку на серверах.
03. Реверс-аналіз
Додатково розгортаємо локальну копію в ізольованому середовищі (пісочниці), де проводимо глибокий реверс-аналіз та ідентифікацію шкідливих фрагментів, тегів, артефактів, паттернів, маркерів. Проводимо евристичний і сигнатурний аналіз. Аналізуємо base64-код, функції eval (), file_get_contents, preg_replace(). Досліджуємо процеси на сервері. Аналізуємо заражені веб-сторінки з використанням різних User-Agent, наприклад Googlebot. Аналізуємо мережеві пакети з допомогою Wireshark/tcpdump. Класифікуємо вразливості за типом і характером. Проводимо депакінг і деобфускацію шкідливого коду.
04. Очищення
Очищуємо сайт від вірусів, шкідливого коду, заражених файлів, сторінок, блоків, застарілих плагінів, інфікованого кешу. Перевстановлюємо усі необхідні компоненти. За потреби перевстановлюємо CMS, відновлюємо базу даних із дампу, переносимо сайт на захищений хостинг.
05. Тестування
Перевіряємо роботу, функціональність, працездатність і цілісність полагодженого, відновленого сайту.
06. Захист
Встановлюємо рішення кіберзахисту веб-сайту, проводимо їх ретельне налаштування і конфігурацію. Зміцнюємо оборону мережевого периметра. За потреби налаштовуємо Firewall та інші засоби серверної безпеки (CSF, IPtables, Snort, ClamAV, phpMussel, modSecurity, SpamAssasin, SELinux).