Malware (złośliwe oprogramowanie) w kontekście WordPressa to ogólna nazwa dla wszelkiego niechcianego, szkodliwego kodu wstrzykniętego do struktury plików lub bazy danych witryny przez osoby nieuprawnione. Działa w tle, często bez żadnych widocznych objawów przez tygodnie lub miesiące, realizując cele napastnika kosztem właściciela strony i jej odwiedzających.
Malware jest zwykle skutkiem wykorzystania podatności w kodzie – luki w wtyczce, motywie lub rdzeniu WordPress. To nie jest synonim samej podatności: podatność to otwarte drzwi, a malware to kod, który przez nie wszedł.
Typy malware w ekosystemie WordPress
Backdoor – ukryty punkt dostępu, który pozwala napastnikowi na powrót do systemu nawet po usunięciu widocznych śladów włamania. Backdoory są zakodowane tak, by wyglądały jak zwykłe pliki systemowe i trudno je wykryć bez skanowania.
Skimmer kart płatniczych – złośliwy kod wstrzyknięty do stron sklepów WooCommerce, który przechwytuje dane kart kredytowych w czasie rzeczywistym, gdy klient wpisuje je podczas zakupu. Dane są wysyłane na serwer napastnika.
Spam mailer – skrypt rozsyłający masowe wiadomości e-mail przez serwer SMTP hostingu. Strona staje się częścią infrastruktury spamowej bez wiedzy właściciela.
SEO spam – wstrzyknięte linki i ukryte podstrony pozycjonujące domeny napastnika. Często niewidoczne dla właściciela strony (ukryte przez CSS lub warunek wykrywający Google Bot), ale indeksowane przez wyszukiwarki.
Jak malware trafia na stronę
Najczęstsze drogi infekcji to:
- Niezałatane podatności – hakerzy skanują znane luki w popularnych wtyczkach i motywach. Instalacja łatki bezpieczeństwa w ciągu pierwszych godzin po jej publikacji znacząco zmniejsza ryzyko.
- Skradzione dane dostępowe – loginy i hasła FTP/SSH, często zdobyte przez phishing lub wycieki z innych serwisów. Dostęp do serwera przez FTP pozwala na bezpośrednie umieszczenie pliku w dowolnym miejscu struktury.
- Nulled themes i plugins – pirackie wersje płatnych wtyczek i motywów dostępne na nieoficjalnych stronach. Zawierają z góry wbudowane backdoory lub złośliwy kod aktywujący się po instalacji.
Konsekwencje infekcji
Obecność malware na stronie może prowadzić do:
- Zablokowania strony przez dostawcę hostingu po wykryciu złośliwego ruchu
- Oznaczenia przez Google Safe Browsing jako „niebezpieczna witryna” z ostrzeżeniem wyświetlanym w Chrome i Firefox
- Drastycznego spadku ruchu organicznego wskutek filtrów Google
- Wycieku danych użytkowników i konsekwencji prawnych z tym związanych
Jak wykrywać malware
Podstawowe metody skanowania:
- Wtyczki skanujące (Wordfence, MalCare, Sucuri Security) – porównują pliki instalacji z referencyjnymi kopiami z wordpress.org i wskazują modyfikacje
- Zewnętrzne skanery URL (Sucuri SiteCheck, VirusTotal) – analizują widoczną zawartość strony z zewnątrz
- Dostęp do logów serwera – identyfikacja podejrzanego ruchu wychodzącego lub zapytań do nieznanych plików
Warto regularnie weryfikować integralność plików bazy danych MySQL, ponieważ malware często umieszcza złośliwy kod bezpośrednio w tabelach bazy, szczególnie w opcjach WordPress lub treściach wpisów.
Usunięcie malware – najczęstszy błąd
Usunięcie zainfekowanego pliku nie rozwiązuje problemu. Bez zlokalizowania i usunięcia backdoora oraz załatania podatności, która umożliwiła infekcję, malware wróci – często w ciągu kilku minut od czyszczenia.
Zaawansowane infekcje dodają też zadania do harmonogramu WP-Cron, który uruchamia złośliwe skrypty w regularnych odstępach. To jeden z powodów, dla których po infekcji należy sprawdzić nie tylko pliki, ale też zaplanowane zadania i wpisy w bazie danych. Rzetelne usunięcie wymaga:
- Identyfikacji wszystkich zmodyfikowanych plików i wpisów w bazie danych
- Usunięcia backdoora
- Zmiany wszystkich danych dostępowych (FTP, SSH, MySQL, WordPress admin)
- Aktualizacji podatnej wtyczki lub motywu
- Weryfikacji po czyszczeniu
Zezwolenie na odpowiednie uprawnienia plików (644 dla plików, 755 dla katalogów) ogranicza możliwość samodzielnego zapisania kodu przez złośliwy skrypt, nawet jeśli uzyska dostęp do serwera.
Podsumowanie
Malware w WordPress to złośliwy kod wstrzyknięty do plików lub bazy danych witryny przez osoby nieuprawnione. Najczęstszym źródłem infekcji są niezałatane podatności we wtyczkach i skradzione dane dostępowe. Skuteczne usunięcie wymaga zidentyfikowania wszystkich śladów infekcji i wyeliminowania pierwotnego źródła, a nie tylko usuniętych plików.