Письмо от хостинга с темой вроде malware detected обычно выглядит страшно. И, честно говоря, не зря. Проблема в другом — к моменту когда оно пришло, сайт часто уже давно заражен. Иногда пару дней. Иногда пару недель. А иногда вы узнаете о беде только после того, как Google начнет ругаться, клиенты — жаловаться, а реклама — вести на казино или фишинговую помойку.
Знакомо? Сайт вроде работал. Заказы шли. А потом бах — письмо от хостинга, блокировка файлов, паника, переписка с техподдержкой.
Так вот, хостинг — это не ваш охранник с дубинкой у двери. Скорее дворник, который заметил разбитое окно утром. Когда воры уже ушли.
Почему хостинг замечает малварь не сразу
У большинства хостингов проверка идет по шаблонам. Они гоняют сканер по аккаунтам и ищут известные куски вредоносного кода. Если сигнатура совпала — вам летит уведомление. Не совпала — тишина. А вредонос уже может сидеть в functions.php, в базе, в загрузках, в кроне, да где угодно.
И да, сканирование редко идет в реальном времени. Чаще по расписанию. Раз в сутки. Раз в несколько часов. Иногда вообще после жалобы со стороны — например, если с вашего сайта пошел спам, фишинг или подозрительный трафик. То есть логика примерно такая: сначала проблема проявилась, потом хостинг это заметил, потом письмо дошло до вас. Уже поздновато.
Плюс хостинг не всегда хочет лезть глубоко. У него тысячи сайтов на серверах. Проверять каждый файл, каждое изменение, каждую запись в базе — дорого. И по ресурсам, и по времени. Для маленького бизнеса это звучит обидно, но факт: ваш сайт для хостинга — один из многих.
Кстати, если интересно как вообще находят маленькие сайты, почитайте вот эту статью про то, как хакеры находят сайт. Спойлер честный — никому вы лично не нужны, все идет автоматом.
Что может происходить до письма
Вот самый неприятный кусок истории. Пока хостинг молчит, злоумышленник уже может:
- добавить бэкдор и возвращаться в сайт даже после смены пароля;
- вставить скрытые редиректы на левые страницы;
- рассылать спам с вашего домена;
- подменять карточки товаров или платежные реквизиты;
- создать нового админа в WordPress;
- заразить файлы так, что внешне сайт будет работать почти нормально.
И вот это самое коварное — сайт может выглядеть живым. Главная открывается. Формы работают. Вы заходите в админку и не видите катастрофы. А внутри уже бардак.
Я видел сайты, где малварь висела почти месяц. Хостинг спохватился только когда с домена пошла волна спама. До этого владелец думал, что просто «сайт иногда тормозит». Ну да. Иногда.
Почему письмо от хостинга — это уже не раннее предупреждение
Потому что это не про профилактику. Это про обнаружение последствий. А между этими двумя вещами огромная разница.
Раннее предупреждение — это когда вы видите подозрительный логин, изменение системного файла, появление нового PHP-файла в папке uploads, скачок по исходящим письмам, внезапного админа, массовые 404 или странные запросы к xmlrpc.php. Вот это ранний сигнал.
Письмо malware detected — это уже финальная сцена, когда дым давно идет из окна.
Если у вас WordPress, лучше думать не в стиле «сообщат если что», а в стиле «как поймать проблему раньше». Для этого обычно и настраивают регулярное обслуживание WordPress — с апдейтами, проверками, наблюдением за файлами и нормальными бэкапами. Для малого бизнеса это куда полезнее, чем надеяться на авось.
На что реально стоит смотреть самому
Без паранойи. Но и без розовых очков.
Вот минимум, который можно проверять даже без особой техподготовки:
- Есть ли свежие бэкапы — не просто «где-то должны быть», а реально свежие и доступные.
- Когда в последний раз обновляли плагины, тему и PHP — если полгода назад, это уже красный флаг.
- Нет ли незнакомых админов — откройте список юзеров прямо сейчас.
- Не появилось ли странных файлов — особенно в
/uploads/, где PHP-файлам вообще не место. - Не жалуются ли браузеры и Google — иногда первым тревогу бьет Safe Browsing, а не хостинг.
На это уходит 10-15 минут. Раз в неделю — уже неплохо. Лучше, чем ничего.
И да, слабые пароли до сих пор ломают сайты быстрее любой «сложной атаки». Если у вас или у сотрудника пароль типа 123Qweasd, читайте эту статью про слабые пароли. Там без страшилок, но по делу.
Что помогает поймать проблему раньше
Смотрите, тут не надо городить киберцентр за тысячи евро. Для сайта малого бизнеса хватит нормального базового набора. Причем часть вещей ставится за полчаса.
1. Мониторинг изменений файлов.
Если системные файлы WordPress вдруг поменялись, вы узнаете об этом раньше, чем хостинг пришлет драматичное письмо.
2. Сканер вредоносного кода на уровне сайта.
Не идеален, но лучше чем слепота. Особенно если он проверяет регулярно, а не «когда руки дойдут».
3. Защита входа.
Ограничение попыток логина, 2FA, отключение лишних точек входа. Это дешево и реально работает.
4. Логи действий.
Кто вошел, что поменял, какой плагин обновился, откуда был логин. Когда что-то случается, без лога вы тыкаетесь вслепую.
5. Внешний uptime-мониторинг.
Если сайт лег ночью, вы узнаете об этом утром от клиента? Плохой расклад. Мониторинг обычно стоит недорого, а иногда входит в обслуживание.
Если хочется не гадать, а проверить сайт на известные дыры, есть отдельная проверка уязвимостей WordPress. Обычно такие штуки стоят недорого по сравнению с уборкой после взлома. А времени занимают — ну, от пары минут на запуск до часа на разбор результатов, если проблем много.
А если письмо уже пришло?
Тогда не надо делать две вещи: паниковать и «чинить наугад». Очень многие первым делом удаляют подозрительный файл, меняют пароль и думают, что победили. Не-а. Если на сайте сидит бэкдор, злоумышленник вернется. Иногда через 5 минут.
Нормальный порядок такой:
— снять бэкап текущего состояния, даже зараженного;
— ограничить доступ к сайту, если идет явный вред;
— проверить пользователей, плагины, cron-задачи, измененные файлы;
— почистить сайт полностью, а не «где нашли»;
— сменить все пароли — WordPress, FTP, база, хостинг;
— обновить все, что устарело;
— закрыть дыру, через которую вошли.
Вот последний пункт люди часто пропускают. И потом ловят повторный взлом через день-два. Потому что причина осталась.
Если сайт уже заражен, быстрее и спокойнее сразу идти в помощь после взлома сайта. Особенно если это интернет-магазин и каждый час простоя стоит денег. Для магазина на WooCommerce даже полдня простоя — уже неприятно. Плюс риск, что поисковики пометят сайт как опасный. А это потом еще разгребать.
Сколько это обычно стоит — время и деньги
Чтобы не было ощущения «сейчас начнется развод на дорогую безопасность». На самом деле для небольшого сайта цифры обычно земные.
Базовая профилактика:
- апдейты и ручная проверка раз в неделю — 15-30 минут вашего времени;
- 2FA и защита входа — часто бесплатно, настройка 5-20 минут;
- сканер и мониторинг — от бесплатных вариантов до платных подписок в пределах цены пары кофе в месяц;
- полноценное обслуживание — обычно дешевле, чем один нормальный срочный ремонт после взлома.
А вот очистка после заражения уже может стоить заметно дороже. И не только деньгами. Теряются заявки, доверие, позиции в поиске. Иногда еще и нервы — вот их точно никто не компенсирует.
Коротко: на хостинг надеяться можно, но поздно
Хостинг не враг. Но его письмо malware detected — это не система раннего предупреждения. Это сигнал, что проблема уже всплыла.
По сути, схема простая: хотите меньше сюрпризов — ставьте защиту на уровне самого сайта, следите за апдейтами, держите живые бэкапы и не ждите письма «сверху». Потому что когда оно приходит, вреямя на спокойные решения часто уже вышло.
И да — лучше потратить 20 минут сегодня, чем потом весь день объяснять клиентам, почему сайт внезапно ведет на ставки и таблетки. Такое тоже бывает. К сожаленю.