Xử lý mã độc website, diệt cửa hậu tận gốc

Web22 nhận xử lý mã độc website cho các trường hợp web đã dính malware (phần mềm độc hại): bị hack, bị chèn link ẩn, tự chuyển hướng (redirect) sang trang lạ, hoặc bị Google gắn cảnh báo. Đây là phần chữa cháy khi web đã nhiễm, nằm trong nhóm bảo trì và vận hành website Web22 đang nhận. Muốn phòng trước khi bị tấn công, xem bảo mật website.

Nhiều chủ web phát hiện trễ vì mã độc đời mới cố tình giấu mặt với người quản trị, chỉ “ra mặt” với khách vãng lai hoặc với Google. Dưới đây là các dấu hiệu hay gặp nhất:

• Tự chuyển hướng sang trang lạ, khách bấm vào web nhưng bị đẩy sang trang cờ bạc, thuốc, hoặc trang nước ngoài.
• Xuất hiện quảng cáo / nội dung lạ, web mọc thêm banner, pop-up, hoặc bài viết tiếng nước ngoài mà bạn không hề đăng.
• Google cảnh báo “trang này có thể gây hại”, hoặc trình duyệt chặn đỏ khi vào web.
• Hosting khoá tài khoản, nhà cung cấp hosting tạm ngưng web vì phát hiện mã độc hoặc web đang phát tán thư rác.
• Web chậm bất thường, tốn tài nguyên, mã độc đào tiền ảo hoặc gửi thư rác ngầm làm server quá tải.
• Có tài khoản quản trị lạ, xuất hiện admin bạn không tạo, hoặc file lạ trong thư mục mã nguồn.

Chỉ cần một trong các dấu hiệu trên là nên kiểm tra ngay. Nếu muốn tự soi trước, Web22 sẽ sớm có bài hướng dẫn tự kiểm tra; còn khi cần xử lý dứt điểm, cứ giao cho đội làm chuyên.

“Mã độc” không phải một thứ duy nhất. Cách dọn khác nhau tuỳ loại, nên việc nhận diện đúng là phần quan trọng nhất.

Nguy hiểm nhất là cửa hậu. Đây là lý do nhiều web “tự cài plugin quét rồi xoá” nhưng vài ngày sau nhiễm lại, vì mã độc nhìn thấy đã gỡ, còn lối vào bí mật thì vẫn nằm im chờ mở lại. Web22 luôn dọn cả phần này.

Gỡ mã độc mà không tìm ra web bị vào bằng đường nào thì dọn xong vẫn nhiễm lại. Vì thế một phần quan trọng của việc xử lý là truy đúng điểm xâm nhập. Các đường vào phổ biến nhất:

• Plugin hoặc theme lậu, tải từ nguồn không rõ. Đây là nguồn lây số một, bản bẻ khoá thường bị nhúng sẵn cửa hậu ngay khi cài.
• Lâu không cập nhật. WordPress, plugin, theme để cũ còn lỗ hổng đã công bố công khai, kẻ tấn công quét hàng loạt để khai thác.
• Mật khẩu yếu, không giới hạn đăng nhập. Bị dò mật khẩu tự động cho tới khi vào được trang quản trị.
• Phân quyền file sai, thư mục tải lên cho chạy mã. Cho phép thực thi mã ở nơi lẽ ra chỉ chứa ảnh.
• Dùng chung hosting với web khác đã nhiễm. Mã độc lây chéo giữa các web trên cùng tài khoản.

Khi xử lý, Web22 vừa dọn mã độc vừa xác định đường vào để bịt lại, vì không bịt nguồn thì mọi công dọn đều tạm thời.

Dọn mã độc đúng cách là một chuỗi bước có thứ tự, không phải bấm một nút quét rồi xong.

• 1. Cô lập & sao lưu hiện trạng, lưu lại bản web đang nhiễm (để đối chiếu và truy nguồn) trước khi dọn.
• 2. Quét & khoanh vùng, đối chiếu mã nguồn với bản gốc sạch, tìm mọi file bị chèn, file lạ, đoạn mã đáng ngờ trong mã nguồn lẫn cơ sở dữ liệu.
• 3. Gỡ mã độc, làm sạch hoặc thay các file bị nhiễm, dọn nội dung rác chèn trong cơ sở dữ liệu.
• 4. Truy & diệt cửa hậu, tìm các backdoor kẻ tấn công cài để chặn đường nhiễm lại. Đây là bước nhiều nơi bỏ qua.
• 5. Vá lỗ hổng gốc, cập nhật WordPress, plugin, theme; gỡ plugin/theme lậu (nguồn lây số một); siết quyền file, chặn thực thi mã ở thư mục tải lên.
• 6. Đổi toàn bộ mật khẩu, quản trị, cơ sở dữ liệu, hosting, FTP/SSH.
• 7. Gỡ cảnh báo & theo dõi, yêu cầu Google gỡ nhãn cảnh báo, làm việc với hosting mở khoá, theo dõi vài ngày để chắc web sạch hẳn.

Khi web đã bị Google gắn nhãn “trang này có thể gây hại” hoặc bị hosting khoá, dọn sạch mã độc mới là một nửa việc, phần còn lại là làm cho web được công nhận sạch trở lại. Thứ tự đúng rất quan trọng: phải chắc chắn web đã sạch hoàn toàn rồi mới xin gỡ, vì nếu xin sớm mà còn sót mã độc, Google từ chối và lần xét sau thường lâu hơn.

Web22 gửi yêu cầu xét duyệt lại qua công cụ quản trị tìm kiếm của Google sau khi đã dọn và vá xong, đồng thời làm việc với nhà cung cấp hosting để mở khoá nếu web bị tạm ngưng. Google cần thời gian xét, nên đây là lý do nữa để xử lý dứt điểm ngay từ đầu thay vì dọn nửa vời rồi phải chờ xét đi xét lại.

Web vừa bị nhiễm là web đã chứng minh có lỗ hổng, nên phòng ngừa sau khi dọn quan trọng không kém việc dọn. Sau khi bàn giao, Web22 khuyến nghị:

• Cài lớp tường lửa và quét bảo mật cho web, theo dõi thay đổi file bất thường.
• Cập nhật định kỳ lõi, plugin, theme; gỡ hẳn các plugin và theme không dùng hoặc tải từ nguồn lậu.
• Mật khẩu mạnh, bật xác thực hai lớp cho tài khoản quản trị, giới hạn số tài khoản admin.
• Lịch sao lưu tự động lưu ở nơi tách biệt, để nếu có sự cố thì khôi phục nhanh từ bản sạch.

Nếu không muốn tự lo, gói chăm sóc website định kỳ để Web22 quét định kỳ và canh giúp, là cách rẻ hơn nhiều so với một lần cứu hộ tiếp theo.

Web22 chia làm 3 gói tuỳ mức độ nhiễm và nhu cầu bảo vệ về sau. Mức cuối cùng chốt sau khi chẩn đoán thật, web nhiễm nhẹ khác hẳn web bị cài cửa hậu nhiều tầng.

Phần lớn web bị hack thật sự nên chọn Cứu hộ toàn diện, vì chỉ gỡ phần nhìn thấy mà bỏ cửa hậu thì khả năng nhiễm lại rất cao, và lần sau thường tốn hơn.

Web22 không giấu: với web nhỏ nhiễm nhẹ, người rành kỹ thuật hoàn toàn có thể tự dọn. Web22 còn dự kiến ra loạt bài hướng dẫn tự xử lý từng bước cho ai muốn tự làm. Nên cân nhắc thuê khi:

• Web đang ra tiền, mỗi giờ web bị chuyển hướng hay bị Google chặn là mất khách thật.
• Đã tự gỡ nhưng nhiễm lại, gần như chắc chắn còn sót cửa hậu, cần người truy tận gốc.
• Không chắc đã sạch hẳn, mã độc đời mới giấu rất kỹ; sót một file là công cốc.
• Bị hosting khoá hoặc Google cảnh báo, cần xử lý đúng quy trình để được gỡ nhãn, không chỉ xoá file.