Понять, что сайт заражён, можно по нескольким группам признаков: посетители видят странные редиректы и всплывающие окна, в поиске появляются чужие страницы или пометка «сайт может угрожать безопасности», Яндекс Вебмастер и Google Search Console присылают уведомления о вредоносном коде, хостинг блокирует аккаунт или жалуется на рассылку спама, а в файлах и базе данных обнаруживаются незнакомые скрипты и администраторы. Лечение всегда идёт по одной схеме: изолировать сайт, сменить все пароли, сделать резервную копию заражённого состояния, найти и удалить вредоносный код, обновить движок и плагины, проверить результат и попросить поисковики снять пометки. Ниже разбираем каждый шаг подробно и простым языком.
Почему заражение часто замечают слишком поздно
Современные вредоносные скрипты редко ломают сайт явно. Злоумышленнику выгоднее, чтобы ресурс продолжал работать: тогда через него можно незаметно перенаправлять мобильный трафик на сомнительные страницы, рассылать спам, размещать скрытые ссылки или майнить криптовалюту на компьютерах посетителей. Многие вирусы показывают себя только части аудитории: например, только пользователям смартфонов, пришедшим из поиска, и только один раз в сутки. Владелец, который заходит на сайт напрямую с рабочего компьютера и уже авторизован в админке, ничего подозрительного не видит.
Поэтому важно знать признаки заражения в разных «точках наблюдения»: глазами посетителя, в поисковой выдаче, в панелях вебмастера, на стороне хостинга и внутри самого сайта. О том, какие типы вредоносного кода встречаются чаще всего, мы подробно рассказали в статье «Топ-10 вирусов на сайтах».
Признаки, которые замечают посетители
Чаще всего первыми о проблеме сообщают клиенты: звонят, пишут в мессенджер или оставляют отзыв. Отнеситесь серьёзно к любой подобной жалобе, даже если у вас всё открывается нормально.
- Перенаправления на чужие сайты. Посетитель открывает страницу, а через секунду оказывается на казино, «розыгрыше призов» или сайте знакомств. Особенно типично для мобильных устройств.
- Всплывающие окна и реклама, которую вы не размещали: баннеры, просьбы «разрешить уведомления», поддельные окна обновления браузера.
- Предупреждение браузера. Chrome, Яндекс Браузер или Firefox показывают красный экран с текстом о том, что сайт может быть опасен.
- Антивирус у посетителя блокирует страницу или сообщает о загрузке подозрительного скрипта.
- Самопроизвольные загрузки файлов — архивов, «обновлений» с расширением .exe или .apk.
- Резкое замедление и высокая нагрузка на процессор компьютера при открытии сайта — возможный признак скрытого майнера.
- Изменённые контакты или реквизиты: в форме оплаты или на странице «Контакты» появились чужие телефоны и номера карт.
Важно: если жалуется хотя бы один клиент, проверьте сайт с другого устройства — со смартфона через мобильный интернет, в режиме инкогнито и с переходом из поисковой выдачи. Так вы увидите сайт глазами «нового» посетителя, которому и показывается вредоносный код.
Признаки в поисковой выдаче
Поисковые системы регулярно сканируют сайты и часто узнают о заражении раньше владельца. Обратите внимание на следующие сигналы.
Пометки рядом с сайтом
Яндекс может показывать рядом с адресом в выдаче предупреждение о том, что сайт может угрожать безопасности компьютера или мобильного устройства. Google в похожих случаях выводит фразу «Этот сайт может быть взломан» или блокирует переход через Safe Browsing. Такие пометки резко снижают переходы: большинство пользователей просто не кликают по ссылке.
Чужие страницы в индексе
Наберите в поиске запрос site:вашдомен.ru и пролистайте результаты. Если среди страниц встречаются заголовки на японском или китайском языке, предложения купить лекарства, реплики брендовых часов, ставки и займы — на сайте создан дорвей или спам-раздел. Злоумышленники используют чужой авторитетный домен, чтобы продвигать свои страницы.
Изменённые сниппеты и падение позиций
Иногда меняется описание сайта в выдаче, хотя вы ничего не правили, или позиции и трафик падают за несколько дней без видимых причин. Это тоже повод проверить сайт на вредоносный код, особенно если параллельно приходят другие сигналы.
Признаки в Яндекс Вебмастере и Google Search Console
Если сайт добавлен в панели вебмастеров, вы получите уведомление на почту и увидите сообщение внутри сервиса. Это самый надёжный внешний источник информации о заражении, поэтому подключить и стоит каждому владельцу сайта, даже небольшого.
- В Яндекс Вебмастере информация находится в разделе «Диагностика» → «Безопасность и нарушения». Там указывается тип угрозы (например, заражение вредоносным кодом, перенаправление на опасные ресурсы, мошенничество) и примеры заражённых страниц.
- В Google Search Console смотрите раздел «Проблемы безопасности» и «Меры, принятые вручную». Google указывает тип проблемы: взломанный контент, вредоносное ПО, социальная инженерия.
- Косвенные сигналы: в отчётах внезапно появились тысячи новых страниц, запросы, которые не имеют отношения к вашему бизнесу, или кто-то добавил в панель нового владельца сайта без вашего ведома.
Проверить, есть ли у Google сведения о проблемах с вашим доменом, можно также через публичный отчёт .
Признаки на стороне хостинга и сервера
Хостинг-провайдеры отслеживают аномальную активность и нередко первыми реагируют на заражение.
| Сигнал | Что может означать |
|---|---|
| Письмо от хостинга о вредоносных файлах | Антивирус провайдера нашёл заражённые файлы в вашем аккаунте |
| Блокировка отправки почты, жалобы на спам | Через сайт идёт массовая рассылка писем |
| Резкий рост нагрузки на процессор и трафика | Скрытый майнер, атака на другие сайты, генерация дорвеев |
| Заполнение диска без видимых причин | Злоумышленник создаёт тысячи спам-страниц или хранит файлы |
| Незнакомые задания в планировщике (cron) | Вирус регулярно восстанавливает себя после удаления |
| Странные записи в журналах доступа | Множество POST-запросов к одному файлу, обращения к несуществующим скриптам |
Если хостинг временно заблокировал сайт, не спешите переезжать к другому провайдеру: заражённые файлы переедут вместе с сайтом. Сначала нужно вылечить ресурс.
Признаки в файлах и базе данных
Это то, что видит администратор или разработчик, заглянув внутрь сайта. Даже без навыков программирования многое можно заметить в файловом менеджере хостинга и в админке.
В файлах
- Недавно изменённые файлы движка, которые вы не обновляли. Сортировка по дате изменения в файловом менеджере часто сразу показывает проблему.
- PHP-файлы со случайными именами вроде
wp-xyz12.phpили в папках, где их быть не должно, например в каталоге загрузок изображений. - Длинные строки непонятного текста в начале файлов, конструкции вида
eval(base64_decode(...)),gzinflate,str_rot13— так обычно маскируют вредоносный код. Сами по себе эти функции не всегда вредны, но в сочетании с зашифрованным содержимым это серьёзный повод для проверки. - Изменённый файл
.htaccessс правилами перенаправления для посетителей из поисковиков или с мобильных устройств. - Посторонний JavaScript, подключённый с незнакомого домена, в шапке или подвале шаблона.
В базе данных и админке
- Новые пользователи с правами администратора, которых вы не создавали.
- Скрипты и ссылки, вставленные в тексты страниц, виджеты или настройки темы.
- Незнакомые плагины, модули или расширения, иногда скрытые из списка.
- Изменённый адрес сайта или e-mail администратора в настройках.
Как проверить сайт на вирусы
Надёжная проверка всегда сочетает несколько способов: внешние сервисы видят то, что получает посетитель, а серверные сканеры и ручной осмотр — то, что лежит внутри.
Онлайн-сервисы
- Яндекс Вебмастер и Google Search Console — информация о том, что нашли поисковики.
- — проверка адреса сайта по базам десятков антивирусов и сервисов репутации.
- Google Safe Browsing — статус домена в базе опасных сайтов Google.
- Sucuri SiteCheck и аналогичные сканеры — удалённая проверка страниц на известные вредоносные вставки и наличие в чёрных списках.
Ограничение онлайн-сервисов в том, что они видят только код, отданный в браузер. Бэкдор, спрятанный в PHP-файле, они не найдут.
Серверные сканеры
- Антивирус хостинга. Многие российские провайдеры предлагают встроенную проверку файлов в панели управления — запустите её в первую очередь.
- AI-Bolit (Revisium) — популярный сканер для PHP-сайтов, который ищет вредоносный код и подозрительные фрагменты.
- Модули безопасности CMS: например, проактивная защита и сканер в 1С-Битрикс, плагины Wordfence или аналоги для WordPress. Подробнее о встроенных возможностях — в статьях о защите сайта на WordPress и сайта на 1С-Битрикс.
Ручная проверка
Сканеры пропускают новые и хорошо замаскированные вирусы, поэтому опытный специалист дополнительно сравнивает файлы движка с оригинальным дистрибутивом той же версии, просматривает недавно изменённые файлы, проверяет базу данных на посторонние скрипты, а также журналы доступа, задания cron и список пользователей. Хороший приём — посмотреть исходный код страницы, загруженной со смартфона из поисковой выдачи, и сравнить его с кодом при прямом заходе.
Пошаговое лечение сайта от вируса
Ниже — порядок действий, которого придерживаемся мы в Pear Advert. Пропуск любого шага часто приводит к тому, что вирус возвращается через несколько дней.
Шаг 1. Изолируйте сайт
Если сайт активно заражает посетителей или перенаправляет их на мошеннические ресурсы, временно закройте его: включите режим обслуживания или ограничьте доступ к сайту по IP-адресам на время работ. Это защитит клиентов и вашу репутацию. Параллельно отключите отправку почты из скриптов, если хостинг жаловался на спам.
Шаг 2. Смените все пароли
Меняйте пароли от админки сайта, хостинга, FTP и SFTP, базы данных, почтовых ящиков, а также от панелей вебмастеров. Удалите лишних пользователей и неиспользуемые доступы подрядчиков. Проверьте компьютеры, с которых заходили в админку, антивирусом: пароли нередко крадёт вредоносная программа на ПК владельца или менеджера.
Важно: смена паролей до удаления вредоносного кода не решает проблему полностью — через бэкдор злоумышленник может вернуться без пароля. Поэтому пароли меняют и в начале лечения, и повторно после завершения очистки.
Шаг 3. Сделайте резервную копию заражённого состояния
Звучит странно, но это обязательный шаг. Полная копия файлов и базы данных в текущем виде позволит восстановить контент, если при чистке что-то пойдёт не так, и проанализировать, как именно произошёл взлом. Храните эту копию отдельно и не разворачивайте её на рабочем сервере.
Шаг 4. Найдите и удалите вредоносный код
Действуйте по результатам проверки из предыдущего раздела:
- Замените файлы ядра CMS чистыми файлами из официального дистрибутива той же версии.
- Переустановите плагины, модули и шаблон из официальных источников. Взломанные «бесплатные» версии платных расширений — частый источник заражения, от них лучше отказаться.
- Удалите посторонние PHP-файлы, особенно в папках загрузок, кэша и временных файлов.
- Очистите
.htaccess, файлы конфигурации и шаблоны от чужих вставок. - Проверьте базу данных: тексты страниц, настройки, виджеты, таблицу пользователей.
- Удалите посторонние задания cron и проверьте, не восстанавливаются ли файлы после удаления.
Если есть чистая резервная копия, сделанная до заражения, иногда быстрее восстановить сайт из неё. Но учитывайте: нужно точно понимать дату взлома, а уязвимость, через которую он произошёл, всё равно придётся закрыть.
Шаг 5. Обновите всё и закройте уязвимость
Обновите CMS, плагины, тему и версию PHP до поддерживаемых. Найдите причину взлома: устаревший плагин, слабый пароль, утечка FTP-доступа, уязвимая форма загрузки файлов. Без устранения причины лечение будет временным.
Шаг 6. Восстановите работу и проверьте результат
Повторно запустите сканеры, проверьте сайт с разных устройств, убедитесь, что формы, оплата и рассылки работают. Отключите режим обслуживания и ещё раз смените пароли. Первые две-три недели внимательно следите за изменениями файлов и сообщениями в панелях вебмастеров.
Как снять пометки в Яндексе и Google
После лечения пометка в выдаче сама по себе исчезает не сразу — нужно сообщить поисковикам, что проблема устранена.
- Яндекс. В Вебмастере в разделе «Безопасность и нарушения» нажмите кнопку запроса перепроверки («Я всё исправил»). Робот повторно проверит сайт; если вредоносный код не обнаружен, пометка снимается. Обычно это занимает от нескольких дней до пары недель.
- Google. В Search Console в разделе «Проблемы безопасности» отметьте, что проблемы исправлены, и отправьте запрос на проверку, кратко описав выполненные действия. Проверка тоже может занять от нескольких дней до нескольких недель.
Также удалите из индекса спам-страницы: убедитесь, что они отдают код ответа 404 или 410, и при необходимости воспользуйтесь инструментами удаления URL в панелях вебмастеров. Если сайт попал в базы антивирусов, обратитесь к соответствующим вендорам через их формы для ложных срабатываний после очистки.
Важно: не отправляйте запрос на перепроверку, пока не уверены, что сайт полностью чист. Повторные неудачные проверки могут увеличить время, за которое поисковик снова рассмотрит ваш запрос.
Профилактика повторного заражения
Большинство взломов происходят по одним и тем же причинам, поэтому базовые меры защиты закрывают основную часть рисков.
- Регулярно обновляйте CMS, плагины и шаблоны, удаляйте неиспользуемые расширения.
- Используйте сложные уникальные пароли и двухфакторную аутентификацию для админки и хостинга.
- Настройте автоматическое резервное копирование с хранением копий вне основного сервера.
- Выдавайте подрядчикам отдельные учётные записи и отключайте их после завершения работ.
- Используйте SFTP вместо FTP и ограничьте права на запись в файлы и папки.
- Включите мониторинг изменений файлов и уведомления в Яндекс Вебмастере и Search Console.
- Не устанавливайте взломанные версии платных тем и модулей.
Набор конкретных настроек зависит от движка. Мы подготовили отдельные инструкции по первичной защите для популярных платформ: Joomla, OpenCart, MODX, Drupal и Tilda. Даже на конструкторах, где за безопасность сервера отвечает платформа, остаются риски, связанные с доступами и сторонним кодом.
Когда стоит обратиться к специалистам
Простые случаи владелец может решить сам, особенно если есть свежая чистая резервная копия. Но к специалистам стоит обратиться, если вирус возвращается после удаления, сайт уже помечен в поисковиках и теряет трафик, затронуты платёжные данные или формы оплаты, нет чистого бэкапа или не удаётся найти причину взлома. Профессиональная очистка обычно включает анализ журналов, сравнение файлов с эталоном, проверку базы, закрытие уязвимости и сопровождение снятия санкций. Регулярное обслуживание в рамках поддержки сайтов помогает не доводить ситуацию до заражения.
Частые вопросы
Может ли сайт быть заражён, если у меня он открывается нормально?
Да, и это частая ситуация. Многие вирусы показываются только посетителям из поиска, только на мобильных устройствах или только неавторизованным пользователям. Проверяйте сайт с другого устройства и опирайтесь на данные панелей вебмастеров и сканеров.
Достаточно ли просто восстановить сайт из резервной копии?
Только если копия точно сделана до заражения и после восстановления вы закрыли уязвимость, сменили пароли и обновили движок. Иначе сайт, скорее всего, взломают повторно тем же способом.
Сколько времени занимает снятие пометки в поиске?
После запроса на перепроверку обычно от нескольких дней до пары недель. Срок зависит от поисковой системы и от того, насколько полностью сайт очищен. Трафик восстанавливается постепенно после снятия пометки.
Поможет ли переезд на другой хостинг?
Сам по себе нет: заражённые файлы и база переедут вместе с сайтом. Смена хостинга имеет смысл только после очистки, если текущий провайдер не обеспечивает нужного уровня безопасности.
Если вы заметили признаки заражения и не хотите рисковать данными и позициями в поиске, оставьте заявку: мы проверим сайт, удалим вредоносный код, закроем уязвимость и поможем снять пометки в Яндексе и Google.
Pear Advert · разработка сайтов
Лечение сайта от вирусов
Проверим сайт, удалим вредоносный код, закроем уязвимости и поможем снять пометки в поиске
- Структура и прототип под вашу нишу
- Смета и сроки — без скрытых платежей
- SEO-основа и заявки с первого дня
Ответим в течение рабочего дня
