Prawdopodobnie każdy użytkownik Internetu zobaczył kiedyś w przeglądarce charakterystyczną czerwoną stronę ostrzegającą przed wejściem na potencjalnie niebezpieczną witrynę. Ta strona to efekt działania wprowadzonego w 2005 roku mechanizmu Bezpieczne przeglądanie Google (Google Safe Browsing), chroniącego użytkowników przed stronami zawierającymi złośliwe oprogramowanie lub w jakiś sposób próbującymi wprowadzić ich w błąd. Mechanizm ten blokuje jednak nie tylko strony, których właściciele z premedytacją umieszczają na nich niebezpieczne treści, ale również zainfekowane witryny, których administratorzy często nie zdają sobie sprawy, że z ich stroną dzieje się coś złego.

Teraz Google wprowadza nowe, bardziej dotkliwe kary dla stron, które zdecydowanie zbyt często trafiają na „czarną listę”. Niestety, zmiany te dotkną również właścicieli zainfekowanych stron, którzy nie do końca potrafią poradzić sobie z wyczyszczeniem swoich witryn.

Gdy strona trafia na „czarną listę” Google Safe Browsing, właściciel otrzymuje stosowną informację w Search Console (o ile korzysta z tego narzędzia). Po wyczyszczeniu witryny można poprosić o ponowne jej sprawdzenie – jeśli przebiegnie ono pomyślnie, to strona znika z „czarnej listy” i staje się znowu dostępna dla użytkowników. Proces weryfikacji strony jest dość szybki – zwykle trwa nie więcej niż kilka godzin.

Problemem dla Google są jednak witryny, które zaraz po usunięciu ich z „czarnej listy” znowu rozpoczynają potencjalnie szkodliwe działania. Dla nich właśnie wprowadzono status Wielokrotnego sprawcy (Repeat Offender). Otrzymują go witryny, które w krótkim czasie wielokrotnie zmieniały swój status w Google Safe Browsing. Właściciele stron z tym statusem nie mogą wysyłać próśb o ponowne sprawdzenie, a co za tym idzie ich witryny nie są usuwane z „czarnej listy”. Status jest nadawany na okres 30 dni – dopiero po tym czasie można wysłać prośbę o ponowne sprawdzenie witryny.

Tradycyjnie Google nie ujawnia szczegółowych informacji na temat kryteriów, jakimi będzie kierować się przy nadawaniu witrynom nowego statusu.

Co to oznacza dla użytkowników WordPressa? CMS ten z uwagi na swoją popularność jest częstym celem ataków, a błędy w popularnych wtyczkach ułatwiają atakującym infekowanie korzystających z niego stron. Gdy mimo zachowania środków ostrożności przytrafi się nam infekcja, nasza strona prawdopodobnie trafi na „czarną listę” Google Safe Browsing i pozostanie na niej dopóki jej nie wyczyścimy. Warto zrobić to porządnie, ponieważ jeśli nie usuniemy złośliwego oprogramowania w całości i nie „załatamy” wszystkich luk, które mogą być wykorzystane przez atakującego, to strona bardzo szybko zostanie zainfekowana ponownie. A od tego tylko krok do nadania jej przez Google nowego statusu, który w praktyce zablokuje naszą stronę na 30 dni.

O czym trzeba pamiętać usuwając złośliwy kod z zainfekowanej strony? Kilka porad znaleźć można w tym wpisie. Najważniejsze kroki to:

• zmiana haseł do wszystkich kont, w szczególności tych z uprawnieniami administratora,
• zmiana haseł do bazy danych i serwera (SFTP),
• usunięcie złośliwego kodu z wszystkich plików,
• sprawdzenie bazy danych pod kątem obecności podejrzanego kodu i nieznanych kont użytkowników (można to zrobić również w panelu administracyjnym),
• aktualizacja wszystkich zainstalowanych wtyczek i motywów, również tych nieaktywnych,
• nadanie odpowiednich uprawnień katalogom (755 lub 750) i plikom (644 lub 640).