Проверка сайта и cPanel/WHM на вредоносное ПО

Вредоносное ПО, найденное на компьютерах

Владение собственным сервером и хостингом даёт свободу и контроль, но увеличивает ответственность за безопасность. Вредоносное ПО и вирусы — одни из главных рисков: они могут заразить сервер, платформу управления хостингом (cPanel/WHM) и работать под прикрытием. Самохостинг делает такие риски ещё серьёзнее.

В этой статье подробно разберём, как понять, заражён ли сайт или cPanel, каким образом злоумышленники проникают внутрь, какие типы вредоносных программ чаще всего атакуют cPanel/WHM и как правильно сканировать и реагировать при обнаружении инфекции.

Признаки заражения сайта и cPanel

Ни один инструмент не даст 100% гарантии, но наличие нескольких из перечисленных признаков — серьёзный повод для проверки:

Изменения в данных для входа (неожиданные новые пользователи, сброс паролей).
Постоянные зависания или падения сайта, периодические ошибки сервера.
Изменённые или удалённые файлы в публикациях, темах, плагинах.
Неожиданные изменения в результатах поиска (в выдаче появляются другие заголовки/описания).
Существенное падение трафика или жалобы пользователей.
Браузеры помечают сайт как небезопасный — предупреждения Google/Chrome, предупреждение от SmartScreen или аналогов.

Важно: один признак не обязательно значит заражение, но несколько одновременно — тревожный сигнал.

Как вредоносное ПО попадает в cPanel и WHM

Знание путей проникновения помогает настроить защиту. Основные векторы:

Ошибки в программном обеспечении

Баги в CMS, плагинах и скриптах дают злоумышленникам возможность повысить права, выполнить удалённый код или внедрить бекдор. Многие уязвимости закрываются обновлениями, но “нулевые дни” (zero-day) остаются рискованными.

Системная ошибка

Что делать: своевременные обновления, тестирование на тестовом стенде и ограничение прав приложений.

Компрометация цепочки поставок

Злоумышленники целятся в популярные библиотеки, темы и плагины. Если разработчик поставляет заражённый пакет, тысячи сайтов могут автоматически получить вредоносный код при обновлении.

Неправильная конфигурация сервера

Оставленные по умолчанию учётные записи, слабые пароли, открытые административные интерфейсы и отсутствие аутентификации для баз данных — частые причины взлома.

SEO‑спам

Вредоносный код незаметно внедряет скрытые ссылки и рекламу на страницы. Такие инъекции тяжело отследить визуально, но они портят SEO и приводят к штрафам поисковых систем.

Скиммеры кредитных карт

Скиммеры перехватывают данные, вводимые пользователями на платежных страницах — либо считывая ввод по мере набора, либо заменяя форму на поддельную.

Какие типы вредоносного ПО атакуют cPanel

Основная цель вредоносного ПО — выполнить нежелательные действия: кража данных, получение удалённого контроля, майнинг, перенаправления.

Знак безопасности с замком

Типичные примеры:

Rootkits — наборы утилит и модификаций ядра/сервисов для скрытого управления сервером. Они позволяют сохранять доступ даже после видимого удаления вреда.
Криптомайнеры (cryptojacking) — используют CPU/GPU сервера или браузеров посетителей для майнинга криптовалюты.
Malicious redirects — перенаправляют посетителей на вредоносные сайты, рекламные сети или страницы с фишингом.
Бэкдоры и веб‑шеллы — дают доступ злоумышленнику для последующей загрузки/выполнения кода.

Признаки наличия: повышенная загрузка CPU, неожиданные процессы, нестабильная работа сайта, запросы к неизвестным внешним IP.

Как сканировать WHM и cPanel на вирусы

Во многих окружениях встроенные и сторонние инструменты позволяют быстро обнаружить вредоносный код.

ImunifyAV интегрирован в cPanel/WHM начиная с версии 88 и доступен как бесплатный сканер через интерфейс WHM.

Логотип Imunify

Пошагово (рекомендуемая последовательность):

Залогиньтесь в WHM под учётной записью root user.
Перейдите в раздел “Безопасность” (Security) в левом меню и выберите ImunifyAV.
На странице сканера откройте вкладку Users.
Нажмите на кнопку запуска сканирования для нужного пользователя (стрелка вправо) или выберите Scan all, чтобы просканировать все аккаунты.
Подтвердите действие, выбрав YES, SCAN.
Проанализируйте результаты и примените доступные опции очистки или поместите файлы на карантин.

Примечание: если версия cPanel/WHM старее 86, ImunifyAV можно установить вручную через SSH и менеджер пакетов.

Если вам нужна более глубокая защита, рассмотрите Imunify360: он включает брандмауэр, управление патчами, IDS/IPS и проактивную защиту от zero‑day атак. Управление доступно через удобную панель в WHM.

Важно: сканеры помогают обнаружить и удалить известные образцы, но не всегда справляются с обфускацией и сложными бекдорами — нужен план действий при инциденте.

Альтернативные инструменты и подходы

Если ImunifyAV/Imunify360 по каким‑то причинам недоступны или вы хотите добавить уровни защиты:

Maldet (Linux Malware Detect) — удобен для командной строки и интеграции в cron.
ClamAV — бесплатный антивирус с сигнатурами, работает на сервере.
Comodo/BitNinja, Sucuri, SiteLock — коммерческие сервисы с расширенной поддержкой и очисткой.
Составные подходы: Maldet + ClamAV + регулярный контроль целостности файлов (например, git, checksums).
Мониторинг логов, IDS (Snort/Suricata), WAF (ModSecurity).

Комбинируйте автоматические сканеры и ручные проверки для более надёжного покрытия.

Когда автоматические сканеры не справляются — типичные ограничения

Обфусцированный код и динамически загружаемые модули могут не совпадать с базой сигнатур.
Бэкдоры, которые активируются по таймеру или по запросу с управляющего сервера, остаются скрытыми.
Шифрованные или упакованные загрузчики не всегда обнаруживаются по сигнатурам.
Модификации на уровне ядра (rootkits) могут маскировать процессы и файлы от сканера.

В таких случаях нужны ручной аудит и анализ: просмотр crontab, автозагрузок, сетевых подключений, нестандартных системных бинарников.

Стандартная операционная процедура при обнаружении инфекции

Шаги ниже — типичный инцидент‑ранбук для системного администратора или команды реагирования:

Изоляция: если возможно, отключите заражённый аккаунт от сети или разместите сайт в режиме “maintenance”.
Снимите полные резервные копии файлов и баз данных в безопасное место, пометив состояние как “инфицированное” (для последующего анализа).
Соберите логи: access.log, error.log, cPanel logs, syslog, cron, mail.log, журналы приложений.
Выполните сканирование несколькими инструментами (ImunifyAV, Maldet, ClamAV) и сохраните результаты.
Оцените масштаб: какие файлы изменены, новые пользователи, cron‑задачи, незнакомые процессы.
Если доступно безопасное резервное копирование до момента инфекции — восстановите из него.
Если восстановления нет — вручную удалите/очистите заражённые файлы, замените компрометированные бинарники и плагины на чистые копии.
Смените все пароли и ключи: cPanel/WHM, FTP, базы данных, SSH, API‑ключи, учётные записи разработчиков.
Обновите все компоненты: ОС, панели, CMS, плагины, темы.
После очистки проведите повторный аудит и несколько последовательных сканирований.
Сообщите пользователям и, при необходимости, регуляторам (если утекли персональные данные).
Документируйте инцидент: вектор проникновения, применённые меры, уроки и рекомендации.

Важно: при серьёзных rootkit‑инфицированиях иногда единственно надёжный путь — полная переустановка ОС и восстановление данных из чистой резервной копии.

Ролевые чек‑листы

Администратор сервера:

Включить и настроить ImunifyAV/Imunify360.
Настроить регулярные сканирования и уведомления.
Ограничить доступ по IP/SSH, включить двухфакторную аутентификацию.
Периодически проверять crontab и нестандартные процессы.

Разработчик/DevOps:

Разворачивать обновления на тестовом стенде перед продом.
Ограничивать права файлов и учётных записей.
Интегрировать контроль версий (git) и CI/CD проверки статического анализа.

Провайдер/хостинг:

Предоставлять опции автоматического сканирования клиентам.
Быстро реагировать на инциденты и предлагать помощь по очистке.
Обеспечить изоляцию аккаунтов (LVE/CloudLinux или контейнеризация).

Команда безопасности:

Вести базу знаний инцидентов.
Проводить постинцидентный разбор и улучшать правила WAF и IPS.

Мини‑методология для регулярного контроля

План: настроить ежедневные лёгкие сканирования и еженедельные глубокие.
Автоматизация: поставить cron‑job для запуска Maldet/ClamAV/Imunify с уведомлением на e‑mail/Slack.
Мониторинг: отслеживать метрики CPU/IO/Network на предмет аномалий.
Ревью: ежемесячно проверять логи и результаты сканеров, документировать исключения.

Пример расписания:

Каждый день: быстрый скан пользователских директорий.
Каждую неделю: глубокое сканирование всех сайтов и системных файлов.
Ежемесячно: аудит crontab, проверки integrity (git, checksums).

Риск‑матрица (качественная)

Угроза	Вероятность	Последствия	Митигирующие меры
Уязвимость в плагине	Высокая	Средне–высокие	Обновления, мониторинг поставщика
Компрометация аккаунта	Средняя	Высокие	2FA, сильные пароли, ограничение доступа
Rootkit	Низкая	Критическая	Полная переустановка, мониторинг целостности
SEO‑спам	Средняя	Средние	Регулярные сканы, WAF, проверка исходного кода
Криптомайнинг	Средняя	Нагрузка на ресурсы	Мониторинг загрузки, ограничение запускаемых процессов

Когда не удаётся полностью очистить — сценарии отката

Вариант A: Есть чистая резервная копия — выполнить восстановление, сменить доступы, запустить сканеры.
Вариант B: Нет чистой копии, есть частичные бэкапы — восстановить максимально чистые части, вручную очистить остальное.
Вариант C: Сомнения в целостности системы — выполнить переустановку ОС и перенос только тщательно проверенных данных.

Критерии приёмки

Считайте работу завершённой, когда:

Сканеры не показывают обнаруженных вредоносных файлов в нескольких последовательных проверках.
Все скомпрометированные учётные данные заменены.
Восстановленные системы работают стабильно и метрики — в норме.
Проведён постинцидентный анализ с документированными уроками.

Короткий словарь терминов

Rootkit — набор инструментов для скрытого управления системой.
Бекдор — скрытый вход для повторного доступа.
Crontab — планировщик задач в Unix/Linux.
Skimmer — скрипт, ворующий данные с форм оплаты.

Частые ошибки и контрпримеры

Ошибка: полагаться только на один антивирус. Контрпример: комбинированный подход (Maldet+ClamAV+лог‑анализ) даёт лучшее покрытие.
Ошибка: игнорирование логов. Контрпример: в 40% случаев первые признаки видны в access.log или mail.log (когда неизвестный скрипт отправляет почту).
Ошибка: немедленное удаление файлов без бэкапа. Контрпример: резервное копирование позволяет провести форензик и избежать потери данных.

Итог

Профилактика и регулярный контроль — ключ к защите сайта и cPanel/WHM. Используйте автоматические сканеры (ImunifyAV/Imunify360), комбинируйте инструменты, мониторьте логи и имейте план реагирования. В сложных случаях не стесняйтесь обращаться к специалистам по цифровой криминалистике и поддержке хостинга.

Важно: при подозрении на компрометацию всегда делайте резервную копию “как есть” перед любыми действиями — это позволит провести последующий анализ и доказательную базу, если потребуется.