Шкідливий файл — зазвичай наслідок, а не причина. До очищення потрібно зафіксувати час зміни, хеші, процеси, з'єднання та пов'язані завдання cron.
Мета — не лише очистити, а й зрозуміти
Після локалізації інциденту перевіряються облікові записи, вразливі розширення, ключі доступу, журнали та правила веб-сервера. Лише після цього можна говорити про відновлення довіри до системи.
Перші дії після виявлення
Перша реакція — не видалити підозрілий файл, а зафіксувати обстановку: зробити копію файлової системи та бази даних у поточному, «зараженому» стані. Це звучить контрінтуїтивно, але без знімка стану розслідувати інцидент після очищення вже не вийде — докази зникають разом із файлом.
Пошук точки входу
Видалений шкідливий файл майже завжди повертається, якщо не знайдено спосіб, яким він туди потрапив: застарілий плагін із відомою вразливістю, скомпрометований пароль адміністратора, незахищена форма завантаження файлів або залишений тестовий скрипт. Поки точку входу не закрито, очищення — це лікування симптому.
Що зробити, щоб це не повторилося
Після інциденту варто змінити всі паролі й ключі доступу (включно з тими, що теоретично могли бути скомпрометовані), оновити CMS і модулі до актуальних версій, обмежити права доступу файлів і папок до необхідного мінімуму та налаштувати моніторинг змін файлів, щоб повторне втручання було помітне одразу, а не через тижні.