Röviden: az átirányító kártevő általában szelektíven működik: csak mobilról, csak a Google-ből érkezőknek vagy csak az első látogatáskor irányít át, a bejelentkezett adminisztrátornak pedig nem. A kód a .htaccess fájlban, a wp-config.php-ben, a sablon fájljaiban, az adatbázisban vagy egy álbővítményben rejtőzhet. Megszüntetéséhez az összes forrást meg kell találni, különben visszatér.
Miért nem látod te az átirányítást?
A támadó célja, hogy a fertőzés minél tovább rejtve maradjon. Ezért a kártevő gyakran figyeli, ki nézi az oldalt:
- bejelentkezett adminisztrátornak nem irányít át;
- csak a keresőből érkező látogatókat küldi tovább, a közvetlenül címet beírókat nem;
- csak mobilon vagy csak bizonyos országokból aktív;
- egy látogatót csak egyszer irányít át, egy süti alapján.
Ezért fordul elő, hogy az ügyfél jelzi a hibát, a tulajdonos pedig nem tudja előidézni.
Hogyan ellenőrizheted?
- Nyisd meg az oldalt privát (inkognitó) ablakban, bejelentkezés nélkül.
- Próbáld ki mobilon, mobilnetről, ne a saját Wi-Fi-ről.
- Keress rá az oldaladra a Google-ben, és a találatra kattintva nyisd meg.
- Írd be a Google-be: site:pelda.hu (a saját domaineddel). Ha idegen nyelvű vagy spam találatokat látsz, az oldalad fertőzött.
- Nézd meg a Google Search Console „Biztonsági problémák” jelentését.
Hol rejtőzik az átirányító kód?
| Hely | Mi történik ott? |
|---|---|
| .htaccess fájl | Átirányítási szabályok, amelyek a böngésző vagy a hivatkozó oldal alapján döntenek. |
| wp-config.php, index.php | A fájl elejére vagy végére szúrt, gyakran kódolt PHP-sor. |
| A sablon fájljai | Például a functions.php vagy a header.php módosítása, ami minden oldalon lefut. |
| Adatbázis | Bejegyzésekbe, widgetekbe vagy beállításokba szúrt JavaScript, esetleg átírt oldalcím. |
| Álbővítmény | Valódinak látszó nevű bővítmény, ami nem jelenik meg a bővítménylistában. |
| Feltöltések mappa | Képek közé rejtett PHP-fájl, amin keresztül a támadó újra módosítja az oldalt. |
A fertőzés ritkán marad egy helyen. Ha csak a látható átirányító sort töröljük, egy másik helyen elrejtett kód perceken belül visszaírja.
Hogyan szüntetjük meg?
Az összes lehetséges helyet átvizsgáljuk, a rendszerfájlokat és a bővítményeket tiszta forrásból cseréljük, megtisztítjuk az adatbázist, eltávolítjuk az ismeretlen felhasználókat és időzített feladatokat, majd megkeressük a behatolás okát. A teljes folyamat leírása: WordPress vírus eltávolítás.
Gyakori kérdések
Rossz-e a Google-helyezésnek az átirányító vírus?
Igen. A Google figyelmeztetést jeleníthet meg a találat mellett vagy a böngészőben, és a spam oldalak miatt a helyezés is romolhat. A tisztítás után a Search Console-ban kérhető felülvizsgálat.
Elég, ha visszaállítom egy régebbi mentésből?
Nem biztos. A mentés is tartalmazhatja a kártevőt, és ha a behatolás oka megmarad, a fertőzés visszatér.
Miért csak a mobilos látogatóimat irányítja át?
A kártevők gyakran csak bizonyos látogatókat céloznak, hogy a tulajdonos ne vegye észre a fertőzést. A mobilos forgalom ráadásul kevésbé feltűnő.