Вредоносный файл — обычно следствие, а не причина. До очистки нужно зафиксировать время изменения, хеши, процессы, соединения и связанные задания cron.
Цель — не только очистить, но и понять
После локализации инцидента проверяются учётные записи, уязвимые расширения, ключи доступа, журналы и правила веб-сервера. Только затем можно говорить о восстановлении доверия к системе.
Первые действия после обнаружения
Первая реакция — не удалить подозрительный файл, а зафиксировать обстановку: сделать копию файловой системы и базы данных в текущем, «заражённом» состоянии. Это звучит контринтуитивно, но без снимка состояния расследовать инцидент после очистки уже не получится — улики исчезают вместе с файлом.
Поиск точки входа
Удалённый вредоносный файл почти всегда возвращается, если не найден способ, которым он туда попал: устаревший плагин с известной уязвимостью, скомпрометированный пароль администратора, незащищённая форма загрузки файлов или оставленный тестовый скрипт. Пока точка входа не закрыта, очистка — это лечение симптома.
Что делать, чтобы не повторилось
После инцидента имеет смысл сменить все пароли и ключи доступа (включая те, что теоретически могли быть скомпрометированы), обновить CMS и модули до актуальных версий, ограничить права доступа файлов и папок до необходимого минимума и настроить мониторинг изменений файлов, чтобы повторное вмешательство было заметно сразу, а не через недели.