Site infectado raramente avisa. Ele continua abrindo, continua com a cara de sempre para quem administra, e o problema só aparece quando um cliente liga contando que o navegador mostrou uma tela vermelha antes de deixar entrar.
Na maior parte dos chamados que chegam até a Forpes Digital, o código malicioso já estava lá havia semanas. Ninguém percebeu porque um vírus de site bem escrito faz questão de não ser percebido: ele esconde o comportamento estranho de quem está logado no painel e mostra a versão suja só para visitante novo, vindo do Google.
Os sinais que aparecem primeiro
Antes do aviso do Google, o site costuma dar pistas. A dificuldade é que cada pista sozinha parece um problema banal, e é por isso que quase sempre passam batidas.
| O que você percebe | O que costuma ser |
|---|---|
| O site abre normal para você e redireciona para outra página no celular de um cliente | Injeção de código que verifica quem está acessando antes de agir |
| Aparecem páginas que ninguém criou, com texto sobre cassino, remédio ou empréstimo | Spam de SEO, hospedado no seu domínio para ranquear no lugar dele |
| O e-mail do domínio começa a cair no spam de todo mundo | O servidor está disparando mensagem em massa sem o seu conhecimento |
| Usuário administrador novo, com nome esquisito, que você não cadastrou | Acesso mantido de propósito, para o invasor voltar depois da limpeza |
| O site ficou lento sem motivo e a hospedagem reclama de consumo | Mineração ou envio de spam consumindo o processamento da conta |
Um sinal isolado pode ser coincidência. Dois ao mesmo tempo quase nunca são.
Como confirmar sem depender de palpite
Duas checagens separam a suspeita da certeza e não custam nada. A primeira é abrir o seu domínio numa janela anônima, de preferência pelo celular, com o 4G ligado em vez do wi-fi do escritório. Muito código malicioso libera a versão limpa para IP conhecido e para quem já visitou o site antes.
A segunda é pesquisar site:seudominio.com.br no Google. O resultado mostra tudo que o buscador indexou do seu domínio. Se aparecerem títulos em outro idioma, ou palavras que não têm nada a ver com o seu negócio, o problema deixou de ser suspeita.
Quem tem o Search Console configurado tem ainda um terceiro caminho, mais direto: o relatório de Problemas de segurança avisa quando o Google encontrou conteúdo malicioso e diz em quais URLs.
O que não fazer nas primeiras horas
O reflexo mais comum é o mais caro. Trocar a senha do administrador e achar que resolveu deixa o site na mesma, porque o invasor quase sempre já plantou um arquivo que devolve o acesso sem precisar de senha nenhuma.
Reinstalar o WordPress por cima também não limpa. O núcleo volta ao original, mas o código malicioso raramente mora no núcleo: ele fica no tema, na pasta de uploads, num plugin desativado ou no banco de dados.
E restaurar um backup antigo sem antes descobrir a data da infecção costuma restaurar o vírus junto. Se a invasão aconteceu há três semanas e a cópia é de dez dias atrás, ela já está contaminada.
Como funciona uma limpeza que resolve
Limpeza feita direito tem três resultados, não um: o site volta limpo, a porta de entrada é fechada e você fica sabendo por onde entraram. Sem a terceira parte, a reinfecção é questão de tempo.
Na prática o trabalho começa por uma cópia integral do site como ele está, infectado mesmo, para não perder evidência. Depois vem a comparação dos arquivos do WordPress com as versões originais, que revela em segundos o que foi alterado, e a varredura do banco de dados atrás de código injetado nas opções e nos posts.
Fecha com a remoção dos acessos plantados, a atualização do que estava desatualizado e o pedido de revisão ao Google, que tira o aviso vermelho do navegador. Esse pedido leva de algumas horas a poucos dias para ser processado.
Por onde eles entram
Quase nunca é um ataque direcionado à sua empresa. É um robô varrendo milhares de sites por dia atrás de uma falha conhecida, e a falha costuma ser plugin sem atualizar, tema pirata baixado de graça, senha fraca no administrador ou uma hospedagem sem isolamento, onde o site do vizinho infectado contamina a pasta do seu.
Tema nulled é o caso mais frustrante de todos, porque a infecção veio junto com o arquivo, de fábrica, e o dono do site pagou por ela com o próprio tempo depois.
Se o seu site está nessa situação agora
Quanto mais tempo o aviso do Google fica no ar, mais posição o site perde e mais difícil fica recuperar o tráfego depois. A recuperação de sites da Forpes Digital inclui o diagnóstico, a limpeza completa, o fechamento da porta de entrada e o relatório do que foi encontrado, para site que nós fizemos e para projeto de outra equipe.
O diagnóstico inicial não custa nada. Chame no WhatsApp (44) 3142-1808 e mande o endereço do site, que a gente olha e diz o que está acontecendo.
Depois que o site estiver limpo, vale conferir onde ele está hospedado. Boa parte das reinfecções que atendemos acontece em servidor compartilhado sem separação entre contas, e a nossa hospedagem de sites já sai com antivírus ativo, backup diário e isolamento entre contas.