Krótko: Jeśli chcą Państwo usunąć malware ze swojej strony, rzadko wystarcza skasowanie pojedynczych plików. Najpierw zabezpieczamy stan, znajdujemy webshelle, tylne furtki i ukryte zadania, odbudowujemy z zaufanych źródeł i zamykamy drogę włamania. Dopiero wtedy oczyszczenie jest wiarygodne.
Po czym poznać malware na stronie
Złośliwy kod na stronach często zauważa się dopiero pośrednio. Typowe są przekierowania na obce strony, treści spamowe widoczne tylko dla wyszukiwarek lub urządzeń mobilnych, ostrzeżenie Google w wynikach wyszukiwania, skargi klientów albo zablokowanie przez dostawcę hostingu z powodu wysyłania spamu. Na serwerze pojawiają się nieznane pliki PHP, nowe konta administratorów, zmienione pliki .htaccess lub niewytłumaczalne zadania cron.
Po PHP2Shell dochodzi kolejna obawa: przez CVE-2026-109618 i CVE-2026-109619 atakujący mogą wykonać kod bez logowania. Nie ma opublikowanych, potwierdzonych wskaźników naruszenia (Indicators of Compromise); wykrywanie opiera się na analizie zachowania. Jak zazwyczaj wyglądają webshelle i gdzie się znajdują, opisuje strona Rozpoznawanie i usuwanie webshelli.
Usuwanie malware ze strony: dlaczego dokładność jest ważniejsza niż szybkość
Atakujący rzadko zostawiają tylko jeden plik. Zwykle jest kilka tylnych furtek w różnych miejscach: w folderach uploadów, we wtyczkach lub motywach, we wtyczkach must-use, w bazie danych, w zadaniach cron lub w dodatkowych kontach użytkowników. Jeśli usunie się tylko najbardziej rzucający się w oczy plik, złośliwy kod wraca.
Jednocześnie zainfekowany stan jest dowodem. Kto oczyszcza pochopnie, traci możliwość ustalenia, czy dane klientów zostały naruszone. Dlatego przed każdą zmianą wykonujemy kopię zabezpieczającą. Kosztuje to niewiele czasu i pozostawia Państwu otwarte wszystkie drogi, także późniejsze zgłoszenie do organu nadzorczego lub ubezpieczyciela.
Aktualizacja PHP lub CMS nie usuwa złośliwego oprogramowania, które już znajduje się na serwerze. A oczyszczona strona zostanie ponownie zainfekowana, dopóki droga włamania jest otwarta.
Gdzie zwykle ukrywa się złośliwy kod
Poniższe miejsca sprawdzamy przy każdym oczyszczaniu, ponieważ w praktyce są stale dotknięte:
| Miejsce | Typowe znalezisko |
|---|---|
| Foldery uploadów | pliki PHP o niewinnie wyglądających nazwach lub zamaskowane jako obraz |
| Wtyczki, motywy, moduły | dodatkowe pliki lub zmienione pliki oryginalne |
| Konfiguracja | wprowadzone wiersze w .htaccess, .user.ini lub plikach startowych |
| Baza danych | obce konta administratorów, skrypty w treściach lub opcjach |
| System | zadania cron, dodatkowe klucze SSH, procesy bez widocznego celu |
| Pamięci podręczne i foldery tymczasowe | kopie złośliwego kodu, które po usunięciu pojawiają się znowu |
Ważny jest kontekst: pojedyncze znalezisko rzadko wyjaśnia cały incydent. Dopiero całościowy obraz pokazuje, jak działał atakujący i czy zabrał dane dostępowe.
Jak konkretnie pomaga PHP SOS?
- Zabezpieczenie: Tworzymy kopię plików, bazy danych i logów w stanie zainfekowanym. Pozostaje ona zachowana do późniejszej analizy.
- Wyszukiwanie: Porównujemy pliki programu z oryginałami producenta, sprawdzamy foldery uploadów pod kątem wykonywalnego kodu, przeszukujemy bazę danych, zadania cron, konta użytkowników i konfigurację serwera. W środowiskach WordPress postępujemy tak, jak opisano w Wyszukiwanie tylnych furtek w WordPress.
- Oczyszczanie: Rdzeń, rozszerzenia i motywy instalujemy ponownie z zaufanych źródeł, zamiast łatać podejrzane pliki pojedynczo. Własne treści i uploady sprawdzamy osobno i przejmujemy tylko to, co jest bezpieczne.
- Zamknięcie przyczyny: Łatamy PHP i aplikację, usuwamy obce konta oraz wymieniamy wszystkie dane dostępowe i klucze, które atakujący mógł zobaczyć.
- Kontrola końcowa: Obserwujemy stronę po oczyszczeniu pod kątem ponownych zmian i wspieramy Państwa przy weryfikacji ostrzeżenia Google przez Search Console. Więcej: Usuwanie ostrzeżenia Google.
Dla administratorów bezpieczne pierwsze spojrzenie na ostatnio zmienione pliki PHP:
# pliki PHP w katalogu WWW, zmienione w ciągu ostatnich 10 dni
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
Wynik jest wskazówką, a nie dowodem: atakujący mogą zmieniać znaczniki czasu.
Co Państwo otrzymują i czego potrzebujemy
Otrzymują Państwo raport ze znalezionymi komponentami szkodliwymi i miejscem ich znalezienia, środkami oczyszczania, listą wymienionych danych dostępowych i prawdopodobną drogą włamania. Wyraźnie oddzielamy przy tym to, co udowodnione, co prawdopodobne i co nieznane.
Od Państwa potrzebujemy:
- dostępu do serwera lub panelu hostingu, backendu CMS i bazy danych
- osoby kontaktowej, która może zatwierdzać zmiany haseł i wyłączenia
- informacji o agencji, programiście lub dostawcy hostingu oraz o własnych modyfikacjach systemu
- istniejących kopii zapasowych z datą, abyśmy mogli ocenić, który stan może być czysty
- dostępu do Google Search Console, jeśli wyświetlane jest ostrzeżenie
Czego nie obiecujemy
Nie obiecujemy, że każda tylna furtka na każdym systemie zostanie na pewno znaleziona, jeśli brakuje logów lub infekcja miała miejsce dawno temu. Przy niejasnej sytuacji zalecamy odbudowę na świeżym serwerze, na który przenosi się wyłącznie sprawdzone treści. Jest to bardziej pracochłonne, ale często pewniejsze. Nie przewidujemy też, kiedy Google lub inne usługi usuną ostrzeżenie; to rozstrzygają ci dostawcy.
Jeśli trzeba w sposób nadający się do sądu wyjaśnić, co dokładnie się stało i jakie dane zostały dotknięte, angażujemy informatykę śledczą ze specjalistycznymi partnerami. W przypadku ostrego, wciąż trwającego ataku praca zaczyna się od pomocy awaryjnej przy zhakowanej stronie.
Częste pytania
Czy wtyczka skanera malware wystarczy do oczyszczenia mojej strony?
Skaner znajduje znane wzorce, ale nie każdą tylną furtkę. Webshelle są często zaciemnione, leżą w obrazach, pamięci podręcznej lub bazie danych albo są zakotwiczone jako zadanie cron. Skaner jest narzędziem pomocniczym, a nie pełnym oczyszczeniem.
Czy mogę po prostu przywrócić starą kopię zapasową?
Tylko jeśli pewne jest, że kopia powstała przed włamaniem, i jeśli droga włamania zostanie potem zamknięta. W przeciwnym razie strona jest czysta przez krótki czas i zostaje ponownie zainfekowana tą samą drogą.
Dlaczego malware po usunięciu ciągle się pojawia?
Zwykle istnieje druga tylna furtka, zadanie cron, zmanipulowane konto administratora albo luka jest nadal otwarta. Oczyszczenie jest trwałe dopiero wtedy, gdy znaleziono wszystkie mechanizmy utrwalenia i usunięto przyczynę.
Czy aktualizacja PHP usuwa istniejące malware?
Nie. Poprawka zamyka lukę, ale nie usuwa wprowadzonego już złośliwego oprogramowania. To dwa oddzielne etapy pracy.