Краткий ответ
Ищите скрытые файлы-обёртки, eval-конструкции, чужие аккаунты и cron-задачи, а также недавно изменённые системные файлы. Бэкдоров обычно несколько, и все их нужно убрать разом.
Что такое бэкдор
Бэкдор - скрытый механизм, который злоумышленник оставляет после взлома, чтобы возвращаться на сайт в любой момент. Это файл-обёртка, выполняющий команды, чужая учётная запись или задача по расписанию, восстанавливающая заражение после чистки.
Где прячутся бэкдоры
- Скрытые файлы с обфусцированным кодом в каталогах.
- Изменённые системные файлы темы и ядра CMS.
- Лишние пользователи-администраторы в базе данных.
- Cron-задачи, запускающие вредоносные скрипты.
Как искать
- Сравните файлы сайта с чистой версией CMS тех же версий.
- Ищите сигнатуры:
eval,base64_decode,gzinflate. - Проверьте всех администраторов и их права.
- Просмотрите cron-задачи и недавно изменённые файлы.
Почему нельзя оставлять даже один
Злоумышленник специально прячет несколько входов: закрыл один - остались другие. Один пропущенный бэкдор означает, что через несколько дней сайт снова заражён, а вся чистка была напрасной.
Главное правило: после удаления бэкдоров смените все пароли и закройте точку входа, иначе возвращение - вопрос времени.
Находим и убираем все бэкдоры вместе с причиной взлома - с гарантией 1 год. Как это делается - на странице порядка работ.
