Hướng dẫn kiểm tra mã độc WordPress và cách loại bỏ

Mã độc nguy hiểm như thế nào?

Mã độc hay malware là những chương trình, đoạn mã hoặc file được tạo ra với mục đích gây hại cho hệ thống.

Khi xâm nhập vào WordPress, mã độc có thể thực hiện nhiều hành vi như:

• Đánh cắp thông tin người dùng và tài khoản quản trị.

• Thay đổi hoặc xóa dữ liệu website.

• Chèn liên kết và nội dung Spam SEO.

• Chuyển hướng người dùng sang website khác.

• Tạo tài khoản quản trị trái phép.

• Cài backdoor để tiếp tục truy cập website.

• Sử dụng tài nguyên hosting cho các hoạt động không mong muốn.

Các dấu hiệu website WordPress bị nhiễm mã độc

Bạn nên tiến hành kiểm tra nếu website xuất hiện một hoặc nhiều dấu hiệu sau:

• Giao diện website bị thay đổi hoặc nội dung bị xóa bất thường.

• Khách truy cập bị chuyển hướng sang website lạ.

• Chrome, Firefox, Safari hoặc trình duyệt khác hiển thị cảnh báo nguy hiểm.

• Tài khoản hoặc mật khẩu quản trị bị thay đổi mà không rõ nguyên nhân.

• File trong source code bị thêm, sửa hoặc xóa trái phép.

• Website thường xuyên gặp lỗi hoặc không thể truy cập.

• Website bị Google hoặc các công cụ bảo mật cảnh báo có nội dung độc hại.

• Kết quả tìm kiếm xuất hiện các trang Spam SEO không phải do bạn tạo.

• Lượng traffic tăng hoặc giảm mạnh một cách bất thường.

Nếu gặp những tình trạng trên, bạn nên kiểm tra cả source code và database của WordPress.

Hướng dẫn kiểm tra và loại bỏ mã độc WordPress

Quét mã độc WordPress bằng công cụ Online

Một trong những cách đơn giản nhất là sử dụng các công cụ quét website trực tuyến.

Một số công cụ phổ biến gồm VirusTotal và Sucuri SiteCheck. Bạn chỉ cần nhập tên miền để kiểm tra các dấu hiệu bất thường mà không cần cài đặt trực tiếp lên WordPress.

Tuy nhiên, phương pháp quét từ bên ngoài thường chỉ phát hiện được những vấn đề có thể quan sát từ website công khai. Các backdoor hoặc file độc hại nằm sâu trong hosting có thể không được phát hiện.

Kiểm tra mã độc trong Database

Mã độc và Spam SEO không nhất thiết chỉ xuất hiện trong source code. Kẻ tấn công cũng có thể chèn dữ liệu độc hại trực tiếp vào database WordPress.

Bạn có thể sử dụng phpMyAdmin hoặc công cụ quản lý database của hosting để kiểm tra.

Một số chuỗi thường được kiểm tra khi nghi ngờ có mã độc gồm:

eval

base64_decode

gzinflate

shell_exec

GLOBALS

error_reporting(0)

Những chuỗi trên không đồng nghĩa chắc chắn là mã độc. Một số plugin hoặc đoạn code hợp lệ cũng có thể sử dụng chúng. Vì vậy, không nên xóa dữ liệu chỉ dựa vào việc tìm thấy các từ khóa này.

Đặc biệt nên kiểm tra những bảng chứa nội dung và cấu hình như wp_options, wp_posts và wp_users để phát hiện URL, script, tài khoản hoặc dữ liệu bất thường.

Kiểm tra và làm sạch Spam SEO trong source code

Nếu website xuất hiện nội dung hoặc liên kết lạ, hãy kiểm tra View Page Source để tìm những đoạn HTML hoặc JavaScript không thuộc website.

Một số vị trí thường cần kiểm tra kỹ gồm:

• File functions.php của theme.

• File header.php và footer.php.

• Thư mục wp-content/plugins/.

• Thư mục wp-content/themes/.

• Thư mục wp-content/uploads/.

• File .htaccess.

• File wp-config.php.

• Các file PHP mới xuất hiện hoặc có thời gian chỉnh sửa bất thường.

Nếu xác định được file đã bị chèn mã, nên đối chiếu với source WordPress, theme hoặc plugin sạch trước khi chỉnh sửa hoặc thay thế.

Thay thế các file WordPress bị nhiễm

Với những file thuộc WordPress Core, cách an toàn hơn thường là thay thế chúng bằng bộ source sạch tương ứng với phiên bản WordPress đang sử dụng thay vì cố gắng xóa từng đoạn mã độc.

Đối với plugin và theme, có thể xóa phiên bản nghi ngờ rồi cài lại từ nguồn đáng tin cậy.

Không nên ghi đè hoặc xóa wp-content và wp-config.php một cách tùy tiện vì đây là những khu vực chứa dữ liệu và cấu hình riêng của website.

Đổi mật khẩu và kiểm tra tài khoản

Sau khi làm sạch website, nên thay đổi toàn bộ thông tin đăng nhập quan trọng gồm:

• WordPress Admin.

• Hosting/cPanel.

• FTP/SFTP.

• Database.

• SSH nếu có.

• Các tài khoản quản trị khác liên quan đến website.

Đồng thời kiểm tra Users trong WordPress và xóa những tài khoản Administrator không rõ nguồn gốc.

Làm gì sau khi loại bỏ mã độc?

Sau khi website đã được làm sạch, cần cập nhật WordPress Core, theme và plugin lên các phiên bản an toàn. Những plugin hoặc theme không còn sử dụng nên được xóa hoàn toàn.

Ngoài ra, hãy kiểm tra lại website, database, file hệ thống và kết quả tìm kiếm để đảm bảo không còn backdoor hoặc nội dung Spam SEO.

Quan trọng hơn, cần tìm được nguyên nhân website bị xâm nhập. Nếu chỉ xóa mã độc mà không xử lý lỗ hổng ban đầu, website hoàn toàn có thể bị nhiễm lại sau một thời gian ngắn.

Kết luận

Kiểm tra mã độc WordPress không chỉ là tìm và xóa một vài file đáng ngờ. Bạn cần kiểm tra đồng thời source code, database, tài khoản quản trị và các dấu hiệu Spam SEO, sau đó cập nhật hệ thống và xử lý nguyên nhân khiến website bị tấn công.

Việc sao lưu dữ liệu định kỳ, cập nhật WordPress thường xuyên và hạn chế sử dụng theme/plugin không rõ nguồn gốc sẽ giúp giảm đáng kể nguy cơ website bị nhiễm mã độc.