Чаще всего сайты заражают десять видов вредоносного кода: веб-шеллы и бэкдоры, SEO-спам и дорвеи (включая «японский спам»), вредоносные редиректы, скиммеры платёжных данных, скрытые майнеры, фишинговые страницы, спам-рассылки с сервера, подмена рекламы и скрытые ссылки, поддельные администраторы и боты для атак на другие ресурсы. Почти все они попадают на сайт через устаревшую CMS, уязвимые плагины, слабые пароли и украденные доступы, а находят их по изменённым файлам, странной активности на хостинге и предупреждениям поисковиков. Ниже разбираем каждый вид простым языком: как он проникает, что делает, как его распознать и что с ним делать.
Когда говорят «вирус на сайте», обычно имеют в виду не классический вирус, а вредоносный код, который злоумышленник добавил в файлы сайта, базу данных или настройки сервера. Он не «заражает» посетителей в привычном смысле, а использует ваш сайт как инструмент: для заработка на чужом трафике, кражи данных, рассылок или атак на другие ресурсы.
Большинство заражений автоматические. Боты круглосуточно перебирают миллионы сайтов, ищут известные уязвимости в WordPress, Joomla, 1С-Битрикс, OpenCart и других системах, а затем ставят заранее подготовленный набор вредоносных скриптов. Поэтому «нас никто не будет взламывать, мы маленькая компания» — опасное заблуждение: роботам безразличен размер бизнеса.
Если вы подозреваете, что сайт уже заражён, начните с общего чек-листа в статье «Как понять, что на сайте вирус, и как его вылечить», а здесь разберём, с какими именно угрозами приходится сталкиваться.
1. Веб-шеллы и бэкдоры
Как попадает
Через уязвимость в плагине или модуле загрузки файлов, через украденный пароль FTP или панели хостинга, иногда вместе с «бесплатной» (взломанной) темой или модулем, скачанным с сомнительного сайта.
Что делает
Веб-шелл — это файл, через который злоумышленник управляет сайтом из браузера: просматривает и меняет файлы, читает базу данных, загружает новые скрипты. Бэкдор — более скромная «запасная дверь», небольшой фрагмент кода, спрятанный в обычном файле, чтобы вернуть доступ после чистки. Почти любое другое заражение из этого списка начинается именно с бэкдора.
Признаки
- в папках загрузок (uploads, upload, images) появляются файлы с расширением .php;
- файлы с бессмысленными именами или маскирующиеся под системные (например, похожие на wp-config или index, но лежащие не на своём месте);
- в коде встречаются длинные нечитаемые строки и конструкции вида
eval(base64_decode(...))— исполнение закодированного текста; - сайт «лечится», но через несколько дней заражение возвращается.
Чем опасен для бизнеса
Полный контроль над сайтом у постороннего: утечка базы клиентов, повторные заражения, использование сервера для других атак. Хостинг может заблокировать аккаунт.
Как найти и удалить
Сравнить файлы с эталонными копиями ядра CMS, проверить сайт серверным антивирусом (например, AI-Bolit, ImunifyAV или встроенным сканером хостинга), отсортировать файлы по дате изменения. Удалить найденные файлы, восстановить ядро из официального дистрибутива, сменить все пароли и ключи. Без смены доступов чистка бесполезна.
Важно: один найденный бэкдор почти никогда не бывает единственным. Злоумышленники оставляют несколько «дверей» в разных местах — в файлах, базе данных и даже в задачах cron.
2. SEO-спам, дорвеи и «японский спам»
Как попадает
Через бэкдор или уязвимость, иногда через слабый пароль администратора. Цель — использовать репутацию вашего домена в поисковиках.
Что делает
На сайте создаются тысячи страниц с рекламой казино, лекарств, поддельных брендов или ссылок на сомнительные магазины. Разновидность — «японский спам»: страницы с японскими иероглифами и товарами, которые видит поисковый робот. Часто используется клоакинг: обычный посетитель видит нормальный сайт, а робот — спам.
Признаки
- в поиске по запросу
site:вашдомен.ruпоявляются странные заголовки на чужом языке или про казино; - в Яндекс Вебмастере и Google Search Console резко растёт число страниц в индексе;
- появляются незнакомые файлы sitemap, правки в .htaccess или robots.txt;
- в Search Console добавлены владельцы, которых вы не приглашали.
Чем опасен для бизнеса
Падение позиций и трафика, санкции поисковиков, метка «сайт может быть взломан» в выдаче. Восстановление позиций после такой атаки занимает недели и месяцы.
Как найти и удалить
Удалить генератор страниц и спам-записи в базе, очистить .htaccess, убрать чужих владельцев из панелей вебмастера, отправить на переобход чистые URL, а спам-адреса отдавать с кодом 404 или 410. Проверить сайт можно через — раздел «Безопасность и нарушения».
3. Вредоносные редиректы
Как попадает
Код вставляется в .htaccess, в шаблон темы, в JavaScript-файлы или прямо в базу данных (например, в настройки адреса сайта или в тексты записей).
Что делает
Перенаправляет часть посетителей на мошеннические сайты: «вы выиграли смартфон», поддельные опросы, фейковые обновления браузера, сайты знакомств. Хитрость в избирательности: редирект срабатывает только для мобильных, только для пришедших из поиска или только один раз для каждого IP. Владелец, заходящий напрямую с компьютера, ничего не замечает.
Признаки
- клиенты жалуются, что «сайт открывает рекламу» или «перекидывает куда-то»;
- в метрике растут отказы, особенно на мобильном трафике из поиска;
- в коде страниц появляются подключения скриптов с незнакомых доменов.
Чем опасен для бизнеса
Потерянные клиенты, жалобы, попадание в чёрные списки браузеров и антивирусов. Сайт с предупреждением «опасный ресурс» практически перестаёт приносить заявки.
Как найти и удалить
Открыть сайт с телефона через мобильный интернет из поисковой выдачи, проверить .htaccess, файлы шаблона и JS, поискать в базе данных подключения внешних скриптов. Статус домена можно проверить в .
4. Скиммеры платёжных данных (Magecart-подобные)
Как попадает
Через уязвимость интернет-магазина, взломанный модуль оплаты или сторонний скрипт (чат, счётчик, виджет), который подключён на сайте и сам оказался скомпрометирован.
Что делает
Небольшой JavaScript на странице оформления заказа незаметно копирует то, что покупатель вводит в форму: имя, телефон, адрес, иногда данные карты, — и отправляет на сервер злоумышленника. Иногда скиммер подменяет форму оплаты на поддельную, а после «ошибки» отправляет человека на настоящую.
Признаки
- покупатели сообщают о списаниях после заказа у вас;
- на странице оформления подключаются скрипты с доменов, похожих на легитимные (с опечаткой в названии известного сервиса);
- изменены файлы модулей оплаты или шаблоны корзины.
Чем опасен для бизнеса
Это одна из самых дорогих угроз: утечка персональных данных клиентов, претензии, проверки, разрыв договоров с платёжными агрегаторами и серьёзный удар по репутации.
Как найти и удалить
Проверить в инструментах разработчика браузера, какие сетевые запросы уходят со страницы оформления; сверить файлы модуля оплаты с оригиналом; ограничить список разрешённых источников скриптов через заголовок Content-Security-Policy. Надёжнее всего использовать оплату на стороне платёжного сервиса (переадресацию или защищённый фрейм), чтобы данные карт вообще не проходили через ваш сайт. Владельцам магазинов на OpenCart полезно прочитать о первичной защите OpenCart.
Важно: если есть подозрение на кражу платёжных данных, сразу сообщите платёжному агрегатору и проконсультируйтесь с юристом по поводу обязанностей оператора персональных данных.
5. Скрытый майнинг криптовалюты
Как попадает
Через тот же бэкдор или уязвимость. Бывает два варианта: майнер в браузере посетителя (JavaScript) и майнер на самом сервере, запущенный как отдельный процесс.
Что делает
Использует мощность процессора — вашего сервера или компьютеров посетителей — для добычи криптовалюты в пользу злоумышленника.
Признаки
- хостинг сообщает о превышении нагрузки на процессор, сайт тормозит;
- у посетителей шумит вентилятор и греется телефон на вашем сайте;
- в списке процессов на сервере есть незнакомые программы, в cron — неизвестные задачи.
Чем опасен для бизнеса
Медленный сайт теряет посетителей и позиции, растут счета за хостинг, а антивирусы посетителей блокируют сайт как опасный.
Как найти и удалить
Проверить нагрузку и процессы в панели хостинга или на VPS, просмотреть задачи cron, найти и удалить внешние скрипты майнинга в шаблоне. На VPS после серверного заражения разумнее переустановить систему с чистого образа.
6. Фишинговые страницы
Как попадает
Злоумышленник загружает в отдельную папку на вашем сайте готовую копию страницы входа банка, почтового сервиса или маркетплейса.
Что делает
Ваш домен используется как «чистый» адрес для фишинговых рассылок: жертвы вводят логины и пароли на поддельной странице, данные уходят мошенникам. Сам ваш сайт при этом может выглядеть нормально.
Признаки
- письма от хостинга или регистратора о жалобах на фишинг;
- в глубине сайта появились папки с названиями банков и сервисов;
- предупреждение «обманчивый сайт» в браузере.
Чем опасен для бизнеса
Блокировка домена регистратором или хостингом, попадание в базы фишинга, проблемы с доставкой ваших собственных писем.
Как найти и удалить
Удалить фишинговые папки, найти точку входа (обычно бэкдор или уязвимый плагин), после чистки запросить повторную проверку в Яндекс Вебмастере и Google Search Console.
7. Рассылка спама с сервера
Как попадает
Через загруженный скрипт-рассыльщик или через незащищённую форму обратной связи, которой можно отправлять письма на любые адреса.
Что делает
Отправляет тысячи писем с рекламой или фишингом от имени вашего сервера и домена.
Признаки
- хостинг ограничил отправку почты или прислал предупреждение;
- письма с сайта (заявки, уведомления) перестали доходить или падают в спам;
- IP сервера попал в публичные чёрные списки.
Чем опасен для бизнеса
Потеря заявок из-за неработающей почты, блокировки на хостинге, испорченная репутация домена, которую долго восстанавливать.
Как найти и удалить
Посмотреть журнал почты на хостинге, найти скрипт-отправитель, защитить формы капчей и ограничением частоты отправки, настроить SPF, DKIM и DMARC для домена.
8. Подмена рекламы и скрытые ссылки
Как попадает
Через взломанные или «нулённые» темы и плагины, через уязвимость в редакторе контента или прямую правку базы данных.
Что делает
Вставляет в страницы невидимые ссылки на чужие сайты (для продвижения), подменяет ваши рекламные блоки или партнёрские ссылки на свои, показывает всплывающую рекламу.
Признаки
- в исходном коде страниц, обычно в подвале, есть ссылки, которых не видно на экране;
- в панели вебмастера появляются исходящие ссылки на незнакомые ресурсы;
- доход с рекламных площадок падает без видимых причин.
Чем опасен для бизнеса
Санкции поисковых систем за продажные ссылки, потеря дохода, раздражение посетителей.
Как найти и удалить
Просмотреть исходный код страниц, поиск в базе данных по внешним ссылкам, замена темы и плагинов на официальные версии. Никогда не ставьте «бесплатные» копии платных тем: это один из самых частых источников заражения на WordPress — подробнее в статье о защите сайта на WordPress.
9. Скрытые администраторы и изменённые учётные записи
Как попадает
Через SQL-инъекцию, бэкдор или утёкший пароль одного из сотрудников.
Что делает
Создаёт в CMS дополнительного администратора, иногда скрытого из списка пользователей, или повышает права существующей учётной записи. Это постоянный ключ к сайту, который переживает чистку файлов.
Признаки
- в базе данных пользователей больше, чем видно в админке;
- незнакомые логины, почтовые адреса на бесплатных доменах, недавние даты регистрации;
- письма о сбросе пароля, которые вы не запрашивали.
Чем опасен для бизнеса
Злоумышленник может в любой момент вернуться, изменить контент, выгрузить базу заказов или удалить сайт.
Как найти и удалить
Сверить список администраторов в админке и напрямую в базе, удалить лишних, сбросить пароли всем, включить двухфакторную аутентификацию. Особенности для разных систем описаны в статьях о защите 1С-Битрикс и Joomla.
10. Боты для DDoS-атак и брутфорса
Как попадает
Через бэкдор: на сервер загружается скрипт, который подключается к управляющему центру и ждёт команд.
Что делает
Ваш сервер становится частью ботнета: атакует другие сайты запросами, подбирает пароли к чужим админкам, сканирует интернет в поисках новых уязвимых сайтов.
Признаки
- большой исходящий трафик при обычной посещаемости;
- жалобы от хостинга на атаки с вашего IP;
- подозрительные долгоживущие процессы на сервере.
Чем опасен для бизнеса
Блокировка сервера хостингом, попадание IP в чёрные списки, теоретически — претензии от пострадавших.
Как найти и удалить
Проверить процессы и сетевые соединения сервера, cron и автозагрузку; удалить скрипт и найденные бэкдоры; на VPS — переустановить систему, восстановив сайт из проверенной копии.
Итоговая таблица сравнения и общая профилактика
Сравнение десяти угроз
| Вид | Главная цель | Главный признак | Ущерб для бизнеса |
|---|---|---|---|
| Веб-шелл, бэкдор | Контроль над сайтом | PHP-файлы в загрузках, повторные заражения | Очень высокий |
| SEO-спам, дорвеи | Трафик из поиска | Чужие страницы в индексе | Высокий |
| Редиректы | Перехват посетителей | Жалобы клиентов, рост отказов | Высокий |
| Скиммер | Кража данных покупателей | Чужие скрипты в оформлении заказа | Критический |
| Майнер | Ресурсы процессора | Высокая нагрузка, тормоза | Средний |
| Фишинг | Кража чужих паролей | Жалобы, папки банков на сайте | Высокий |
| Спам-рассылка | Отправка писем | Заблокирована почта | Средний |
| Скрытые ссылки, подмена рекламы | Продвижение, доход | Невидимые ссылки в коде | Средний |
| Скрытый администратор | Постоянный доступ | Незнакомые учётные записи | Очень высокий |
| Бот DDoS/брутфорса | Атаки на другие сайты | Исходящий трафик, жалобы хостинга | Средний |
Что работает против всех десяти
- Обновления. Ядро CMS, темы и плагины — в актуальных версиях. Большинство взломов использует давно исправленные уязвимости.
- Только официальные расширения. Никаких «нулённых» тем и модулей.
- Сильные пароли и двухфакторная защита для админки, хостинга, FTP и почты; отдельные учётные записи для каждого сотрудника.
- Резервные копии вне основного сервера, с регулярной проверкой восстановления.
- Мониторинг. Контроль изменения файлов, панели вебмастеров, уведомления хостинга.
- Минимум лишнего. Удаляйте неиспользуемые плагины, тестовые копии сайта и старые учётные записи.
Конкретные настройки зависят от платформы: у нас есть отдельные руководства по MODX, Drupal и Tilda, где риск заражения кода ниже, но остаются угрозы для аккаунта.
Частые вопросы
Если сайт работает нормально, может ли он быть заражён?
Да. Многие виды вредоносного кода специально прячутся: показываются только поисковым роботам, только мобильным посетителям или вообще ничего не меняют на страницах, а работают в фоне. Поэтому стоит регулярно проверять панели вебмастеров и состояние файлов.
Достаточно ли удалить заражённые файлы?
Нет. Нужно найти и закрыть точку входа, удалить все бэкдоры, проверить базу данных и пользователей, сменить все пароли. Иначе заражение вернётся через несколько дней.
Можно ли просто восстановить сайт из резервной копии?
Можно, если копия гарантированно чистая и сделана до заражения. Но после восстановления всё равно нужно обновить CMS и сменить доступы, иначе сайт взломают тем же способом.
Защищён ли сайт на конструкторе?
Код на конструкторах вроде Tilda или InSales обслуживает платформа, поэтому большинство описанных угроз там маловероятны. Главные риски — угон аккаунта и вредоносные сторонние скрипты, которые вы сами вставили. Об этом подробнее в статье о защите сайта на InSales.
Мы в Pear Advert регулярно лечим сайты после взломов: находим точку входа, удаляем вредоносный код, восстанавливаем позиции и настраиваем защиту, чтобы заражение не повторилось. Если хотите, чтобы за безопасностью следили постоянно, посмотрите нашу услугу поддержки сайтов.
Pear Advert · разработка сайтов
Проверим и вылечим сайт
Найдём вредоносный код, закроем уязвимости и настроим защиту от повторных заражений
- Структура и прототип под вашу нишу
- Смета и сроки — без скрытых платежей
- SEO-основа и заявки с первого дня
Ответим в течение рабочего дня
