Вредоносный код не всегда виден на главной странице. Он может работать только для мобильных посетителей, переходов из поиска или определённых условий. Поэтому отсутствие симптома у владельца не опровергает сообщение клиента о перенаправлении.
Соберите наблюдения
Запишите адрес страницы, время, устройство и способ перехода. Сохраните скриншот и доступные журналы. Не просите сотрудников многократно открывать подозрительную страницу с рабочих аккаунтов. Проверку лучше выполнять в контролируемой среде.
Что проверяет специалист
- Отличия файлов от доверенных исходников соответствующей версии.
- Неожиданные скрипты и вставки в базе данных.
- Новые администраторские аккаунты и задания по расписанию.
- Правила перенаправления и конфигурации веб-сервера.
- Неизвестные внешние подключения и изменения шаблонов.
Как относиться к результатам сканера
Сигнатурный поиск может пропустить новый или изменённый код. Ложные срабатывания тоже возможны: необычный фрагмент бывает частью легитимного расширения. Поэтому найденный файл сначала сопоставляют с источником, назначением и журналом изменений. Массовое удаление по одному признаку способно сломать сайт.
Не отправляйте конфигурационные файлы и базы в публичные анализаторы: они могут содержать пароли и персональные данные. Если внешний анализ необходим, согласуйте состав материалов и условия обработки.
Почему поиск должен выходить за пределы файлов
Вставка может храниться в настройках CMS, рекламном контейнере или внешнем виджете. Даже неизменённые локальные файлы не исключают опасный сторонний скрипт. Полезно составить перечень внешних источников и проверить, кто управляет их настройками.
Что делать после находки
Зафиксировать подтверждение, ограничить выполнение и выяснить путь появления. Очистка без закрытия причины приводит к повторению. Результатом проверки должны быть список затронутых компонентов, действия по восстановлению и ограничения вывода: невозможно честно подтвердить чистоту всего окружения, проверив только одну папку сайта.
Дополнительно: 1С-Битрикс: ограничения сканирования файлов.
Читайте также
- Что делать, если сайт взломали: порядок восстановления
- Как проверить сторонние скрипты и виджеты на риски для сайта
- Аудит безопасности сайта: какие уязвимости нужно проверить
Если задача связана с вашим сайтом, можно обсудить проверку и доработку. Объём работ определяется после знакомства с проектом.
