Como recuperar um site WordPress invadido: passo a passo

Descobrir que o seu site WordPress foi invadido é stressante, mas um plano claro torna a situação gerível. O objetivo é conter os danos, remover o código malicioso, fechar a brecha por onde o atacante entrou e, por fim, confirmar que o site está limpo. Saltar o terceiro passo é a razão mais comum pela qual os sites são invadidos de novo em poucos dias.

Sinais de que o seu site pode estar comprometido

• Os visitantes são redirecionados para sites não relacionados ou suspeitos, sobretudo no telemóvel ou a partir dos resultados de pesquisa.
• Os resultados de pesquisa mostram páginas de spam em japonês ou farmacêutico sob o seu domínio.
• O seu navegador ou o Google avisa que o site é perigoso.
• Novas contas de administrador que não criou.
• O seu alojamento suspende a conta ou reporta envio de spam.
• Ficheiros com nomes aleatórios, ou ficheiros alterados recentemente em que não mexeu.

Alguns destes sinais têm explicações inocentes, por isso confirme antes de assumir o pior, mas aja depressa se encontrar provas reais.

Passos imediatos: copiar e conter

Antes de alterar o que quer que seja, faça uma cópia completa dos ficheiros e da base de dados, mesmo estando infetada. Preserva provas para perceber como o atacante entrou e dá-lhe uma alternativa se algum passo da limpeza correr mal. Guarde-a offline e não a restaure mais tarde por engano.

Contenha o problema

Se o site está a servir malware ou spam, coloque uma página de manutenção simples ou restrinja o acesso enquanto trabalha. Contacte o seu fornecedor de alojamento; muitas vezes consegue ver o que se passa no servidor e pode ajudar a isolar a conta. Ao mesmo tempo, altere as palavras-passe que importam: o painel de controlo do alojamento, as contas FTP ou SFTP, o utilizador da base de dados e as contas de administrador do WordPress. Faça-o a partir de um computador limpo.

Restaurar ou limpar

Tem duas opções gerais.

• Restaurar a partir de uma cópia de segurança limpa. Se tem uma cópia anterior ao comprometimento, este costuma ser o caminho mais rápido. Restaure e depois atualize de imediato tudo e corrija o ponto de entrada, ou o atacante volta.
• Limpar manualmente. Se não existir uma cópia limpa, terá de remover à mão ficheiros e entradas da base de dados maliciosos, ou com ferramentas de análise.

Tenha cuidado com a distância a que recua. Os atacantes às vezes ficam semanas em silêncio antes de agir.

Checklist de limpeza manual

1. Substitua os ficheiros do núcleo do WordPress por uma transferência nova da mesma versão ou de uma mais recente. Deixe o wp-config.php e o wp-content como estão por agora.
2. Elimine todos os plugins e temas e reinstale-os de raiz a partir de fontes de confiança. Descarte os que não precisa.
3. Inspecione a pasta wp-content/uploads. Deve conter multimédia, não ficheiros PHP.
4. Verifique o wp-config.php e o .htaccess à procura de código que não reconheça.
5. Reveja os utilizadores e remova os administradores desconhecidos.
6. Pesquise na base de dados scripts injetados em artigos, opções e widgets.
7. Gere novas chaves secretas e salts no wp-config.php, o que termina a sessão de todos.
8. Verifique as tarefas agendadas à procura de entradas desconhecidas, já que os atacantes as usam muitas vezes para reinfetar.

Encontrar o ponto de entrada e verificar

Os pontos de entrada comuns são um plugin ou tema desatualizado, uma extensão pirata, uma palavra-passe fraca ou reutilizada, ou outro site comprometido na mesma conta. Verifique os registos de acesso à procura de pedidos suspeitos na altura da primeira alteração. Atualize tudo, remova o que está abandonado e ative a autenticação de dois fatores. Se aloja vários sites numa só conta, verifique cada um deles, porque o malware pode propagar-se lateralmente.

Verifique e peça revisões

Volte a analisar o site com um analisador de malware, navegue nele a partir de diferentes dispositivos e confirme que os redirecionamentos e as páginas de spam desapareceram. Se o Google ou um navegador sinalizou o site, use o Google Search Console para pedir uma revisão quando tiver confiança de que está limpo. Verifique também se o seu domínio de email não foi usado para enviar spam.

Reforce a segurança para que não volte a acontecer

Percorra uma lista de reforço: mantenha o software atualizado, use perfis com o mínimo de privilégios, limite as tentativas de início de sessão, desative a edição de ficheiros no painel e mantenha cópias de segurança testadas fora do servidor. A nossa checklist de reforço da segurança do WordPress aborda cada um destes pontos. Considere também uma firewall de aplicações web, pois pode bloquear muitas tentativas de exploração antes de chegarem ao WordPress.

Erros a evitar e quando pedir ajuda

• Não se limite a apagar o sintoma visível e a esperar pelo melhor. As backdoors costumam estar escondidas noutro lado.
• Não reinstale por cima dos ficheiros infetados sem remover os antigos.
• Não pague a quem o contacte do nada a oferecer-se para reparar o seu site.
• Não ignore os outros sites da mesma conta de alojamento.

Quando pedir ajuda profissional

Se o site é crítico para o seu negócio, se trata dados de clientes ou se a limpeza continua a falhar, recorra a um profissional. Pondere também se foram expostos dados pessoais; consoante o local onde opera, pode haver obrigações de notificação. Verifique as regras que se aplicam a si ou consulte um consultor qualificado.

Após a recuperação, vigie o site durante várias semanas. Observe novos ficheiros, utilizadores inesperados e tráfego estranho, e guarde os seus registos. As reinfeções costumam surgir em poucos dias se uma backdoor tiver ficado esquecida, pelo que a monitorização precoce compensa.

Como podemos ajudar

Um alojamento com Plesk, CDN Cloudflare e SSL gratuito dá-lhe um ponto de partida mais forte, e a nossa equipa pode responder a perguntas sobre restaurar e proteger um site. Se precisar de um recomeço limpo, o nosso serviço de migração WordPress pode passar o seu site já limpo para o alojamento WordPress gratuitamente.