Проверка сайта на вирусы: признаки взлома и что делать

Проверить сайт на вирусы бесплатно и из браузера можно за десять минут, но объявить его по итогам этой проверки чистым нельзя. Sucuri, чей бесплатный сканер стоит почти в каждой подборке из выдачи, пишет про него прямо: «Since the remote scanner only has access to what's visible on the browser level, it will not detect anything on the server-side». Бэкдор, шелл и рассыльщик спама живут в файлах на сервере и в браузер не отдаются. Поэтому правильный порядок другой: три проверки снаружи, чтобы подтвердить заражение, потом антивирус хостинга, чтобы увидеть файлы, потом поиск точки входа — и только потом отправка сайта на перепроверку в Вебмастер, где срок, по справке Яндекса, составляет до 30 дней.

01Что я открыл по запросу «проверка сайта на вирусы»

Позиции в Яндексе я не измерял: выдача закрыта SmartCaptcha, и вместо номеров мест здесь пул из 16 адресов, собранный по кластеру запросов — «проверка сайта на вирусы онлайн», «как проверить сайт на вредоносный код», «сайт заражён что делать». Каждую страницу я скачал сырым запросом и разобрал из HTML: заголовки H2 взяты дословно из тегов, объём посчитан по тексту, таблицы — по тегам table. Ни один заголовок и ни одно число не взяты из пересказа.

Из таблицы видно главное свойство пула: он распадается на два полюса без середины. На одном — ликбез без действий: Макхост на 780 словах и AdminVPS на 650 перечисляют пять сервисов и советуют сменить пароли. На другом — консоль для администратора: ISPmanager даёт команду find . –name '*.ph*' –mtime -7 и права 444 на файлы, Web Is Life выкладывает свой PHP-скрипт замены. Страницы, которая сказала бы владельцу бизнеса «эти три шага сделай сам в браузере, на этом остановись и звони подрядчику», в пуле нет.

Отдельно про свежесть. Даты публикации в пуле: 2013, 2017, 2021 трижды, 2023 трижды, 2024, 2025, 2026. У пяти страниц даты в разметке нет вообще. Числа соответствующие: be1.ru приводит статистику Яндекса «в конце 2016 года», ktonanovenkogo разбирает Joomla 1.5 и кейс ноября 2012-го. А ReScan.pro, который до сих пор числится в подборках, в 2026 году не существует: домен отдаёт заглушку продажи, а его разработчик Revisium перенаправляет на Imunify360.

02Чего нет ни у одной из шестнадцати страниц

Это я проверил не глазами, а поиском по тексту всех скачанных страниц сразу.

Юридической части нет нигде. Слова «КоАП» и «штраф» не встречаются ни на одной странице. «Роскомнадзор» нашёлся один раз, и то в списке соседних инструментов сервиса. Срок 24 часа упоминает одна страница, и это маркетинговая рамка «у вас есть максимум 24 часа до чёрных списков», а не норма закона. Срок 72 часа не встречается нигде.

Работы с панелями вебмастера как шага инструкции тоже нет. Вебмастер упоминают шесть страниц, Search Console — четыре, но всегда одной строкой: «посмотрите, нет ли предупреждения». Ни одна не называет раздел интерфейса, ни одна не приводит срок перепроверки. То есть ключевой шаг — снятие метки заражения — в выдаче не раскрыт никем.

Нет ни одной содержательной таблицы: из 16 страниц теги table есть у двух, и в обоих случаях это вёрстка карточек. Нет цен: единственная цена во всём пуле — «за $500 сотрудники сервиса готовы его починить» из материала 2021 года. И нет ни одного упоминания блокировки аккаунта хостингом, хотя шесть страниц пула написаны самими хостингами.

03Шаг 1. Не открывайте заражённые страницы в своём браузере

Это первое, что велит сделать Google, и ровно этого нет в советах из выдачи. Справка Search Console формулирует так: «Не открывайте свои зараженные страницы в браузере. Поступая так, вы подвергаете свой компьютер риску, поскольку вредоносное ПО зачастую использует именно уязвимости браузеров. Кроме того, хакеры иногда скрывают спам с помощью разных способов маскировки, чтобы владелец сайта его не обнаружил».

Вместо этого Google предлагает два способа. Первый — Инструмент проверки URL в Search Console: он показывает страницу так, как её видит робот, а не так, как её показывают вам. Второй — запрос через curl с подменой источника перехода и браузера; команда приведена в справке целиком.

Вторая причина смотреть не своими глазами описана в правилах Google в отношении спама. Переадресация у взломанного сайта бывает условной: «Результаты такой переадресации могут зависеть от URL перехода, агента пользователя или устройства. Например, пользователь может быть перенаправлен на страницу с вредоносным кодом, когда нажмет на URL в результатах поиска Google. Если же этот URL вставить в адресную строку, то запрашиваемая страница откроется без переадресации». Это тот самый случай, когда владелец видит нормальный сайт, а клиенты жалуются на чужую страницу. Проверка — переход из выдачи с телефона, а не набор адреса руками.

04Шаг 2. Три проверки снаружи и их честная граница

Бесплатные сканеры делают одно и то же: открывают ваши страницы и сверяют результат с чужими базами. Понимать их границу важнее, чем выбрать «лучший».

Таблица объясняет частую ошибку. «VirusTotal показал ноль детектов» не значит «сайт чистый»: по документации сервис не выносит собственного вердикта и не ведёт своих списков, он опрашивает более 70 движков и сервисов блокировки. Ноль детектов означает только, что ни один из опрошенных вендоров пока не внёс ваш URL в свой список. Там же лежит и предупреждение, о котором стоит знать до загрузки файлов: «The contents of submitted files or pages may also be shared with premium VirusTotal customers» — дамп с данными клиентов туда заливать нельзя.

Quttera про себя пишет не менее честно: «100% detection rate does not exist and no vendor in the market can guarantee it». А Вирусдай вписал оговорку прямо в пользовательское соглашение: сервис «не является средством или системой автоматического и/или гарантированного обнаружения и/или избавления от угроз на веб-сайтах… а является лишь инструментом в помощь Пользователю».

05Шаг 3. Где написано, что вы заражены

У Яндекса путь точный: Вебмастер, раздел «Оптимизация сайта → Безопасность и нарушения». Справка добавляет полезное: «Если на странице Оптимизация сайта → Безопасность и нарушения не отображается список нарушений, ограничения на сайт или его разделы не действуют». Взлом попадает под пункт «Нежелательное программное обеспечение» — один из девяти видов нарушений в действующем перечне.

В выдаче посетитель видит дословно это: «Сайт может угрожать безопасности вашего компьютера или мобильного устройства». Проверяет страницы, по той же справке, «антивирус Яндекса и продукты компании Sophos®». И важная деталь, которую перевирают почти все: из поиска заражённый сайт не выбрасывают. «Мы не удаляем зараженные сайты из результатов поиска, так как сайт может содержать уникальную полезную информацию, релевантную вашему запросу». Если у вас пропали страницы из индекса, причина, скорее всего, другая — причин, по которым страницы выпадают из поиска, набирается около восьми, и нарушение безопасности лишь одна из них.

У Google это отчёт «Проблемы безопасности» в Search Console, и он подробнее: двенадцать наименований проблем, разложенных по трём категориям. Четыре из них — типы взлома: вредоносное ПО, внедрение кода, внедрение контента и внедрение URL. Последний описан так: «Злоумышленник создал на вашем сайте новые страницы. Скорее всего, на них есть спам в виде текста или ссылок».

Оба отчёта работают только у того, кто подключён. Google пишет об этом открытым текстом: «Рекомендуем заблаговременно зарегистрировать сайт в Google Search Console, чтобы мы могли быстро оповещать вас и предоставлять больше информации о найденных проблемах». Если панелей у вас нет, стоит разобраться, как права на сайт в Вебмастере подтверждаются и на чью почту приходят уведомления, потому что иначе о заражении своего сайта вы узнаете от позвонившего клиента, а не из письма поисковой системы.

06Шаг 4. Антивирус хостинга — единственная бесплатная проверка файлов

Внешние сканеры в файлы не заходят, а антивирус провайдера заходит. Разброс условий у четырёх российских хостингов оказался больше, чем я ожидал.

Beget здесь честнее остальных и в формулировках: «Антивирус не защищает сайты от заражения, а производит только проверку и лечение». Reg.ru добавляет оговорку, которую стоит прочитать до нажатия кнопки: «Некоторые файлы Антивирус для сайтов не лечит в автоматическом режиме. Такие вредоносные файлы требуют ручной проверки разработчиками сайта». У SpaceWeb слово «лечение» вообще определено в оферте — и определение почти анекдотическое: оно «используется для обозначения действия редактирования и/или удаления файлов и/или фрагментов кода в данных файлах».

Timeweb в справке описывает антивирус как опцию, которую покупают на 1, 3, 6 или 12 месяцев, и при заражении отправляет наружу: «Просканировать и пролечить сайт антивирусом. Это дополнительная услуга, которую можно заказать у сторонних специалистов». Абонентской цены на сайте нет, подтверждено только ручное сканирование — 100 рублей за сайт. Это, кстати, повод посмотреть, какие функции хостинги кладут в тариф, а какие продают отдельной строкой, ещё до того, как они понадобятся срочно.

И отдельно — про блокировку, о которой молчит вся выдача. Beget единственный публикует процедуру и разделяет случаи: «Фишинг можно разделить на злонамеренный… и вирусный (например, если злоумышленники взломали сайт и добавили на него фишинговую страницу): в первом случае мы блокируем аккаунт и можем разделегировать домен, а во втором — можем заблокировать как фишинговую страницу, так и весь сайт». Срока вида «у вас N часов до отключения» ни у одного из четырёх провайдеров я не нашёл — право приостановить услугу записано без числа.

07Шаг 5. Чистка без точки входа — это отсрочка

Вычищенный сайт заражается обратно, если осталась дверь. Google называет три типовые точки входа: незащищённый каталог на сервере, уязвимость в устаревшей CMS и взломанный сторонний плагин. И даёт конкретные слова для поиска в коде: «Попробуйте найти подозрительный код в ответах и на своем сайте. Могут пригодиться следующие ключевые слова: search, eval, base64_decode и unescape».

Что ищется в файлах, а не в браузере, видно по формулировкам серверных сканеров. ImunifyAV описывает свою работу так: «Run a comprehensive scan of the entire filesystem to identify a wide range of malware, viruses, backdoors, web shells, and other malicious threats». Вирусдай требует положить файл синхронизации в корень сайта и ищет «редиректов, шелов, троянов и другого вредоносного кода». Ни одно из этих слов во внешнем скане не появится в принципе.

Что повторное заражение — не редкость, косвенно подтверждает сам Google: у него есть отдельный показатель, и считается он с трёхмесячным окном — «количество сайтов, которые были удалены из списка и повторно заражены в течение трех месяцев после этой недели». Яндекс в справке Браузера говорит то же прямее: «Рекомендуем повторять проверку сайта в течение нескольких недель после заражения. Это поможет выявить вредоносное ПО, если оно не было удалено полностью в первый раз».

Если точку входа искать некому, я беру восстановление сайта после взлома с поиском точки входа и настройкой регулярных бэкапов отдельной работой, и начинается она не с чистки файлов, а с чтения логов за те сутки, когда появился первый редирект, — потому что иначе чистку придётся повторять.

08Шаг 6. Снятие метки: 30 дней у Яндекса и сутки у Google

Здесь два разных процесса, и их постоянно путают.

У Яндекса процедура из пяти шагов: устранить нарушение, описать в блоке с нарушением, что именно изменили, поставить отметку «Нарушение исправлено» и нажать «Отправить на проверку». Срок — «в течение 30 дней». Цена спешки высокая: «Вы можете повторно сообщить об устранении нарушения только через 30 дней с момента отправки сайта на проверку. В течение этого времени кнопка Отправить на проверку недоступна».

У Google сроков два, и они про разное. Справка Transparency Report про метку Safe Browsing: «Если повторное сканирование не выявит проблем, сайт будет удален из списка в течение 24 часов». Справка Search Console про закрытие проблемы в отчёте: «Рассмотрение запроса на повторную проверку обычно занимает несколько дней или недель». И там же штраф за нетерпение: «Если отправить запрос на повторную проверку, не устранив проблему, на рассмотрение следующего запроса может потребоваться больше времени, а вам может быть присвоен статус Неоднократные нарушения».

Появляется предупреждение, кстати, намного быстрее, чем снимается: «Опасный сайт добавляется в наш список зараженных веб-ресурсов через считанные минуты после его выявления, и в среднем через полчаса это могут видеть внешние пользователи». Асимметрия — минуты на появление, недели на снятие — и есть главный аргумент за то, чтобы не отправлять заявку после первой чистки.

Разберём именно
ваш сайт бесплатно

Посмотрю страницу и рекламу, найду,
где теряются заявки, и пришлю план,
что поменять.

Что входит в разбор

• 1
  Где теряются заявкипуть от объявления до формы
• 2
  Что поправить на сайтепервый экран, оффер, формы
• 3
  Что поменять в рекламезапросы, объявления, бюджет

Михаил Лапошинразберу ваш проект лично

Ваше имяТелефонСайт

TelegramWhatsAppЗвонок

Согласен на обработку данных и политику конфиденциальностиПолучить бесплатный разбор

✓ Заявка принята — отвечу в течение часа

09Если на сайте была форма с данными клиентов, у вас сутки

Это самая большая дыра в выдаче и самая дорогая для владельца. Часть 3.1 статьи 21 закона № 152-ФЗ обязывает оператора при неправомерной передаче персональных данных уведомить уполномоченный орган «в течение двадцати четырех часов о произошедшем инциденте» и «в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента».

Ловушка в начале отсчёта. Срок течёт «с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом» — то есть если об утечке первым узнал не вы, сутки уже идут.

Штраф назначен не за утечку, а отдельно за молчание. Часть 11 статьи 13.11 КоАП: неуведомление или несвоевременное уведомление влечёт штраф «на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц — от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц — от одного миллиона до трех миллионов рублей». Примечание к статье закрывает надежду малого бизнеса проскочить по «гражданам»: за правонарушения по частям 8–18 «индивидуальные предприниматели несут административную ответственность как юридические лица».

Отсюда практический вывод: обычная форма заявки с именем и телефоном делает вас оператором персональных данных со сроками. Поэтому вместе с файлами стоит проверить и то, какие документы должны лежать на сайте до начала сбора телефонов, — без них претензия возникает и без всякого взлома, по одной только форме на странице. Сам взлом, если понадобится заявление, квалифицируется по статье 272 УК как неправомерный доступ к компьютерной информации.

10Сколько это стоит, если делать не самому

Своего прайса я здесь не называю, зато рынок свои публикует, и разброс показательный. Разовое лечение: WebFull — от 3 000 ₽, «Мибок» — от 6 000 ₽, Golden Studio — от 9 000 ₽, IT Argency — от 17 000 ₽ за визитку и от 35 000 ₽ за магазин, SecurityLab.pro — от 40 000 ₽ со сроком 2–5 дней. На бирже Kwork живые предложения идут от 500 до 25 000 ₽. Почасовые ставки публикует только IT Argency: программист от 2 500 ₽/час, системный администратор от 1 900 ₽/час.

Тринадцатикратный разброс между 3 000 и 40 000 рублей объясняется не наглостью, а объёмом. За 3 000 рублей вырезают вставки из файлов. В тариф SecurityLab.pro входят «закрытие точки взлома» и «проверка через 2 недели» — то есть ровно те два шага, без которых чистка становится отсрочкой. Абонентская защита — отдельная категория: от 199 ₽/мес за антивирус на хостинге до 8 250 ₽/мес за мониторинг у агентства, и ImunifyAV+ для своего сервера от 7 долларов в месяц.

11Где остановиться самому и чего я проверить не смог

Самому делаются первые три шага: посмотреть сайт инструментом проверки URL, прогнать внешние сканеры, открыть Вебмастер и Search Console. Четвёртый — антивирус хостинга — тоже, если провайдер даёт лечение в тарифе. Останавливаться надо на пятом: поиск точки входа по логам и правка файлов требуют, как пишет Google, «умение работать с кодом, а иногда и настраивать веб-сервер сайта».

Честно про пробелы. Позиции в выдаче не измерены — вместо них пул из 16 адресов. Абонентскую цену антивируса Timeweb подтвердить не удалось: справка отправляет за ней в панель управления. Цену антивируса Reg.ru тоже — страница тарифов не отдаётся без исполнения скриптов, а числа из сниппетов поисковика я в расчёт не брал. Адрес электронной формы уведомления Роскомнадзора сверить не получилось: домены ведомства с моей машины не открылись, поэтому в статье стоит формулировка самой нормы, а не ссылка на форму.

И отдельно: если сайт перестал открываться совсем, это необязательно вирус — за десять минут можно понять, на чьей стороне сайт перестал отвечать, и половина таких случаев оказывается хостингом или сертификатом, а не взломом.

Итог короткий. Взлом стоит владельцу трёх разных сроков: минуты до появления метки, до 30 дней на её снятие и 24 часа на уведомление, если через сайт собирались телефоны. Если хотите прислать мне отчёт антивируса хостинга и разобрать, что в нём лечится само, а что придётся смотреть руками, это один разговор, и чаще всего после него выясняется, что заражены не файлы темы, а забытый плагин, который не обновляли два года.

Михаил ЛапошинМаркетолог, руководитель Laposhin Agency

«Делаем сайты и запускаем Яндекс Директ так, чтобы
сайт приносил заявки, а не просто был»

Есть вопрос по статье?Задать вопрос в Telegram