Stručne: Ak chcete z webu odstrániť malvér, zmazanie jednotlivých súborov málokedy stačí. Najprv zabezpečíme zistenia, nájdeme webshelly, zadné vrátka a skryté úlohy, znovu zostavíme z dôveryhodných zdrojov a uzavrieme vstupnú bránu. Až potom je vyčistenie spoľahlivé.
Podľa čoho spoznáte malvér na webe
Škodlivý kód na weboch sa často prejaví až nepriamo. Typické sú presmerovania na cudzie stránky, spamový obsah viditeľný iba pre vyhľadávače alebo mobilné zariadenia, upozornenie Google vo výsledkoch vyhľadávania, sťažnosti zákazníkov alebo zablokovanie poskytovateľom hostingu pre rozosielanie spamu. Na serveri sa objavia neznáme súbory PHP, nové administrátorské účty, zmenené súbory .htaccess alebo nevysvetliteľné cronjoby.
Po PHP2Shell pribúda ďalšia obava: cez CVE-2026-109618 a CVE-2026-109619 môžu útočníci bez prihlásenia spúšťať kód. Neexistujú zverejnené, potvrdené Indicators of Compromise; rozpoznanie je založené na analýze správania. Ako webshelly typicky vyzerajú a kde ležia, popisuje stránka Rozpoznanie a odstránenie webshellov.
Odstránenie malvéru z webu: prečo je dôkladnosť dôležitejšia ako rýchlosť
Útočníci málokedy uložia iba jeden súbor. Bežných je viac zadných vrátok na rôznych miestach: v priečinkoch na nahrávanie, v doplnkoch alebo témach, v must-use doplnkoch, v databáze, v cronjoboch alebo v ďalších používateľských účtoch. Ak sa zmaže iba najnápadnejší súbor, škodlivý kód sa vráti.
Zároveň je napadnutý stav dôkazným materiálom. Kto čistí unáhlene, stratí možnosť zistiť, či sú dotknuté údaje zákazníkov. Preto pred každou zmenou zabezpečujeme stav. Stojí to málo času a necháva vám otvorené všetky cesty, aj neskoršie oznámenie dozornému orgánu alebo poisťovni.
Aktualizácia PHP ani CMS neodstráni škodlivý softvér, ktorý už na serveri leží. A vyčistený web sa znovu nakazí, kým je vstupná brána otvorená.
Kde sa škodlivý kód typicky skrýva
Nasledujúce miesta kontrolujeme pri každom čistení, pretože sú v praxi znova a znova dotknuté:
| Miesto | Typické zistenie |
|---|---|
| Priečinky na nahrávanie | súbory PHP s neškodne vyzerajúcimi názvami alebo zamaskované ako obrázok |
| Doplnky, témy, moduly | pridané súbory alebo zmenené pôvodné súbory |
| Konfigurácia | zavlečené riadky v .htaccess, .user.ini alebo vstupných súboroch |
| Databáza | cudzie administrátorské účty, skripty v obsahu alebo nastaveniach |
| Systém | cronjoby, ďalšie kľúče SSH, procesy bez rozpoznateľného účelu |
| Cache a dočasné priečinky | kópie škodlivého kódu, ktoré sa po zmazaní objavia znova |
Dôležitá je súvislosť: jediný nález málokedy vysvetlí celý incident. Až celkový obraz ukáže, ako útočník postupoval a či si odniesol prístupové údaje.
Ako konkrétne pomáha PHP SOS?
- Zabezpečiť: Vytvoríme kópiu súborov, databázy a logov v napadnutom stave. Zostane zachovaná pre neskoršie vyhodnotenie.
- Hľadať: Porovnáme programové súbory s originálmi výrobcu, skontrolujeme priečinky na nahrávanie z hľadiska spustiteľného kódu, preveríme databázu, cronjoby, používateľské účty a konfiguráciu servera. Pri prostrediach WordPress postupujeme tak, ako je popísané na stránke Hľadanie zadných vrátok vo WordPresse.
- Vyčistiť: Jadro, rozšírenia a témy nainštalujeme znova z dôveryhodných zdrojov namiesto záplatovania podozrivých súborov jednotlivo. Vlastný obsah a nahrané súbory kontrolujeme osobitne a preberáme iba to, čo je bezpečné.
- Uzavrieť príčinu: Záplatujeme PHP a aplikáciu, odstránime cudzie účty a vymeníme všetky prístupové údaje a kľúče, ktoré mohol útočník vidieť.
- Následná kontrola: Po vyčistení web sledujeme, či nedochádza k novým zmenám, a pomáhame vám dať upozornenie Google preveriť cez Search Console. Viac na stránke Odstránenie upozornenia Google.
Pre administrátorov neškodný prvý pohľad na nedávno zmenené súbory PHP:
# Súbory PHP vo webovom adresári zmenené za posledných 10 dní
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
Výsledok je náznak, nie dôkaz: útočníci môžu meniť časové pečiatky.
Čo dostanete a čo potrebujeme
Dostanete správu s nájdenými škodlivými komponentmi a miestom ich nálezu, opatreniami na vyčistenie, zoznamom vymenených prístupových údajov a pravdepodobnou vstupnou bránou. Pritom jasne oddeľujeme, čo je preukázané, čo pravdepodobné a čo neznáme.
Od vás potrebujeme:
- prístup k serveru alebo hostingovému panelu, backendu CMS a databáze
- kontaktnú osobu, ktorá môže schváliť zmeny hesiel a vypnutia
- informácie o agentúre, vývojárovi alebo poskytovateľovi hostingu a o vlastných úpravách systému
- existujúce zálohy s dátumom, aby sme mohli posúdiť, ktorý stav by mohol byť čistý
- prístup do Google Search Console, ak sa zobrazuje upozornenie
Čo nesľubujeme
Nesľubujeme, že každé zadné vrátka na každom systéme sa spoľahlivo nájdu, ak chýbajú logy alebo napadnutie siaha ďaleko do minulosti. Pri nejasnej situácii odporúčame nové zostavenie na čerstvom serveri, na ktorý sa prenesie iba preverený obsah. Je to náročnejšie, ale často spoľahlivejšia cesta. Nepredpovedáme ani, kedy Google alebo iné služby upozornenie odstránia; o tom rozhodujú títo poskytovatelia.
Ak sa musí súdne použiteľným spôsobom objasniť, čo presne sa stalo a ktoré údaje sú dotknuté, prizveme IT forenziku so špecializovanými partnermi. Pri akútnom, ešte prebiehajúcom útoku sa práca začína núdzovou pomocou pri hacknutom webe.
Časté otázky
Stačí na vyčistenie môjho webu doplnok na skenovanie malvéru?
Skener nájde známe vzory, ale nie každé zadné vrátka. Webshelly sú často zakamuflované, ležia v obrázkoch, cache alebo databáze alebo sú ukotvené ako cronjob. Skener je pomôcka, nie úplné vyčistenie.
Môžem jednoducho obnoviť starú zálohu?
Iba ak je isté, že záloha vznikla pred vlámaním, a ak sa potom uzavrie vstupná brána. Inak je web krátko čistý a rovnakou cestou sa znovu nakazí.
Prečo sa malvér po zmazaní stále znovu objavuje?
Spravidla existujú druhé zadné vrátka, cronjob, zmanipulovaný administrátorský účet alebo je zraniteľnosť stále otvorená. Vyčistenie vydrží až vtedy, keď sa nájdu všetky mechanizmy perzistencie a odstráni sa príčina.
Odstráni aktualizácia PHP existujúci malvér?
Nie. Záplata uzavrie zraniteľnosť, ale neodstráni už zavlečený škodlivý softvér. Ide o dva oddelené pracovné kroky.