У большинства людей хакерская атака ассоциируется с полностью уничтоженным сайтом или черным экраном с заглушкой и требованиями выкупа (Defacement). Однако современный хакинг действует гораздо коварнее. Злоумышленникам невыгодно сразу блокировать сайт – им выгодно подольше оставаться незамеченными, используя ваши серверные ресурсы, авторитет домена и трафик в собственных целях.
Сетевые боты и вредоносные скрипты могут месяцами незаметно рассылать спам, перенаправлять мобильных пользователей на фишинговые страницы или внедрять скрытые ссылки для SEO-манипуляций. Поэтому, давайте в сегодняшнем обзоре рассмотрим детальный чек-лист явных и скрытых симптомов, свидетельствующих о том, что ваш веб-ресурс был скомпрометирован (был хакнут).
1. Основные симптомы заражения: От визуальных к системным
Все признаки взлома можно условно разделить на несколько категорий в зависимости от того, как злоумышленники используют ваш ресурс:
- Предупреждение браузеров и поисковых систем: Google Search Console отправляет уведомление о наличии вредоносного кода, а в поисковой выдаче возле вашего сайта появляется отметка «Этот сайт может быть взломан» или «Deceptive site ahead» (Красное окно)
- Аномальные редиректы (Перенаправления): При переходе с поисковой выдачи или с мобильных устройств пользователя перенаправляет на сторонние ресурсы (казино, арбитражные лендинги, сомнительные опросы). При этом если открыть сайт напрямую через адресную строку, он может работать штатно – это сделано для сокрытия преступления от администратора.
- SEO-спам и клоакинг (Japanese / Pharma Hack): В поисковой выдаче за вашим доменом появляются тысячи новых страниц с иероглифами, названиями медикаментов или реплик брендовой одежды. Роботы поисковиков видят один контент, а обычные посетители – другой.
- Спонтанное создание новых пользователей: В панели управления (CMS) появляются неизвестные аккаунты с правами администратора или контент-менеджера.
- Проблемы с почтовой рассылкой: Почтовые сервисы начинают массово отклонять ваши транзакционные письма, а IP-адрес сервера попадает в черные списки (Spamhaus, Barracuda) из-за несанкционированной рассылки спама через скрипты (Web Shell / Mailer).
2. Сравнительная таблица: Симптомы и типы атак
Для быстрой диагностики сверьте поведение вашего сайта с известными векторами атак:
| Симптом / Поведение | Вероятный тип атаки | Где искать источник проблемы |
|---|---|---|
| Падение скорости, нагрузка CPU 100% | Внедрение скрытого майнера (Crypto Miner) или использование сервера для DDoS-атак. | Процессы сервера (top / htop), фоновые cron-задачи, загруженные вредоносные .php файлы во временных папках (/tmp, /uploads). |
| Изменение даты модификации системных файлов | Внедрение бэкдоров (Backdoors) или модификация ядра CMS. | Файлы .htaccess, index.php, wp-config.php, точки входа тем и плагинов. |
| Блокировка аккаунта хостинг-провайдером | Массовая спам-рассылка или превышение лимитов выполнения процессов через вредоносные ботанеты. | Журналы доступа (Access Log), системные логи почтового сервера (Postfix/Qmail), исходящие socket-соединения. |
| Исчезновение кнопок, некорректные скрипты | JS-инъекция (Malicious JavaScript Injection) для похищения данных платежных карт или сессий. | Загружены внешние скрипты в header / footer, базы данных (таблицы опций и постов), закэшированные JS-файлы. |
3. Как проверить сайт: Первоочередные шаги по диагностике
Если вы подозреваете, что сайт взломан, выполните следующую последовательность действий для подтверждения или опровержения догадок:
- Анализ индексации в Google: Введите в поисковой строке оператор
site:vash-domain.com. Если в результатах отображаются тысячи незнакомых страниц на чужом языке – это прямой признак SEO-взлома. - Проверка сервисов безопасности: Воспользуйтесь бесплатными сканерами, такими как Google Search Console (раздел «Безопасность и меры, предпринятые вручную»), Sucuri SiteCheck или VirusTotal.
- Аудит файловой системы: Сравните контрольные суммы (
MD5) файлов ядра вашей CMS с чистыми оригинальными дистрибутивами. Ищите файлы, измененные за последние 24–48 часов, а также нетипичные.phpфайлы в каталогах загрузки изображений (/uploads/или/images/). - Проверка баз данных: Выполните поиск по ключевым словам
eval(,base64_decode(,gzinflate() или<script>в таблицах базы данных MySQL/MariaDB.
Технический совет разработчика: Взлом сайта – это почти всегда следствие, а не первопричина. Причиной может быть устаревшая версия CMS/плагина, использование нулевых (Nulled) премиум-тем с вшитыми бекдорами, или утечка SSH / FTP паролей через зараженный ПК разработчика. Просто удалить вредоносный файл недостаточно – оставьте сайт в режиме обслуживания, обновите все пароли (включая ключи базы данных и FTP), полностью переустановите ядро CMS и плагины из официальных источников и только после этого закрывайте уязвимость.
