يبدو موقعك سليمًا. الصفحات تُحمَّل، والتصميم كما هو، ولا شيء غريب في wp-admin. ثم يخبرك أحد العملاء بأن نتائج موقعك في Google تعرض إعلانات صيدليات، أو تنخفض زياراتك دون سبب واضح، أو يبدأ Chrome بتحذير الزوار من دخول موقعك.
هكذا يعمل نوع متزايد من إصابات WordPress: فهو مصمم ليختفي عن صاحب الموقع. وقد رصد باحثو الأمن حملات تثبّت إضافات مزيفة، وتحقن المحتوى المزعج فقط عندما يزور محرك بحث الموقع، وتعيد توجيه بعض الزوار فقط إلى مواقع احتيالية. يوضح لك هذا الدليل كيف تفحص موقعك، وتنظفه تنظيفًا صحيحًا، وتحافظ عليه نظيفًا.
أهم النقاط
- تعرض رسائل SEO المزعجة المخفية محتوى عن الصيدليات أو الكازينوهات لمحركات البحث فقط، فيبدو الموقع طبيعيًا بالنسبة إليك.
- من الحيل الشائعة إضافة مزيفة تحمل اسم نطاقك، مثل example-com/example-com.php.
- افحص Google باستخدام site:yourdomain.com مع كلمات مزعجة، وابحث في Search Console عن صفحات لم تنشئها.
- التنظيف يعني استبدال الملفات وإعادة تعيين كل كلمات المرور وحذف المستخدمين الإداريين المخفيين، لا مجرد حذف ملف واحد.
- بعد التنظيف، اطلب من Google مراجعة موقعك حتى تختفي التحذيرات والنتائج المزعجة.
كيف تعمل رسائل SEO المزعجة المخفية
تفحص البرمجية الخبيثة كل طلب قبل أن تقرر ما ستعرضه:
- لزواحف محركات البحث، تضيف محتوى مزعجًا: روابط أو صفحات أو نصوصًا عن الصيدليات أو الكازينوهات أو القروض أو البضائع المقلدة. ويفهرس Google هذا المحتوى تحت نطاقك، فيستفيد المحتوى المزعج من سمعة موقعك.
- لك ولفريقك المسجّل الدخول، تعرض الموقع الحقيقي، فلا يبدو أن هناك أي خلل.
- لبعض الزوار، وغالبًا من يأتون من Google عبر الهاتف فقط، تعيد التوجيه إلى موقع احتيالي، ثم تتوقف لفترة حتى يصعب تكرار المشكلة ورصدها.
ومن أماكن الاختباء المفضلة إضافة تحمل اسم موقعك نفسه. ففي موقع example.com مثلًا، قد يكون المجلد والملف example-com/example-com.php، فيبدو وكأنه شيء أنشأه المطوّر الخاص بك. وتتنكر حملات أخرى في صورة إضافات أمان أو SEO، أو تستخدم شيفرة مموّهة بشدة يصعب قراءتها، أو تُخفي نفسها تمامًا من شاشة الإضافات.
علامات تدل على أن موقعك قد يكون مصابًا ظهور كلمات مزعجة أو صفحات بلغات أجنبية في نتائج Google الخاصة بنطاقك؛ أو تحذير مثل "الموقع التالي مخادع" أو "ربما تم اختراق هذا الموقع"؛ أو إبلاغ العملاء عن عمليات إعادة توجيه لا تستطيع تكرارها؛ أو انخفاض مفاجئ في زيارات البحث؛ أو مستخدمين إداريين جدد لم ينشئهم أحد.
الخطوة 1: تحقق مما يراه Google
ابحث في Google عن نطاقك مع كلمات مزعجة شائعة. فإذا ظهرت نتائج لصفحات لم تكتبها أبدًا، فهذا يعني أن Google فهرس محتوى مزعجًا على موقعك.
site:yourdomain.com viagra
site:yourdomain.com casino
site:yourdomain.com replica
site:yourdomain.com "buy" "online" "cheap"بعد ذلك افتح Google Search Console لموقعك. راجع الأمان والإجراءات اليدوية › مشاكل الأمان بحثًا عن تحذيرات، وتقرير الصفحات بحثًا عن عناوين URL لا تعرفها. وتعرض أداة فحص عنوان URL الصفحة كما يراها Googlebot، وهي أسرع طريقة لكشف المحتوى الذي لا يُعرض إلا للزواحف.
الخطوة 2: ابحث عن الدخيل
في wp-admin، راجع الإضافات والمستخدمين. ولكن لأن بعض البرمجيات الخبيثة تختفي من wp-admin، افحص الملفات مباشرةً أيضًا، عبر مدير الملفات في cPanel أو عبر SSH:
# Plugin folders on disk (compare with the Plugins screen)
ls -la wp-content/plugins/
# Must-use plugins load automatically and don't need activating
ls -la wp-content/mu-plugins/
# PHP files don't belong in uploads
find wp-content/uploads -name "*.php"
# Core files that differ from the official release
wp core verify-checksums
# Plugins whose files differ from the wordpress.org versions
wp plugin verify-checksums --all
# Every administrator account
wp user list --role=administratorابحث عن مجلد إضافة يحمل اسم نطاقك، وأي شيء في mu-plugins لم تضفه أنت، وملفات PHP داخل uploads، ومستخدمين إداريين لا تعرفهم. وعلى استضافة cPanel من WebGee، شغّل فحصًا أيضًا من أداة فحص البرمجيات الخبيثة في cPanel، وراجع تقرير CMS Threats في cPGuard، الذي يرصد كذلك الملفات المصابة ومحتوى قاعدة البيانات المصاب في كل تثبيت WordPress.
الخطوة 3: نظّف الموقع تنظيفًا صحيحًا
الخطأ الأكثر شيوعًا هو حذف الملف الضار الوحيد والتوقف عند ذلك. فالمهاجمون يتركون دائمًا تقريبًا طريقًا ثانيًا للعودة. أنجز الخطوات كلها:
التنظيف، بهذا الترتيب
- خذ أولًا نسخة احتياطية لحظية من الموقع المصاب، حتى تتمكن من المقارنة ولا تفقد شيئًا
- أعد تثبيت ملفات WordPress الأساسية (wp core download --force --skip-content)، مع الإبقاء على wp-content وwp-config.php
- احذف كل الإضافات والقوالب، ثم أعد تثبيت نسخ جديدة منها من المصدر الرسمي؛ واحذف كل ما لا تعرفه
- احذف ملفات PHP من wp-content/uploads وأي شيء غير متوقع في mu-plugins
- احذف المستخدمين الإداريين غير المعروفين، وافحص wp-config.php و.htaccess بحثًا عن شيفرة مضافة أو عمليات إعادة توجيه
- راجع مهام cron في cPanel وإعادات توجيه البريد الإلكتروني بحثًا عن أي شيء لم تنشئه
- أعد تعيين كل كلمات المرور: حسابات مسؤولي WordPress وcPanel وقاعدة البيانات وFTP/SSH والبريد الإلكتروني؛ ثم غيّر مفاتيح الأمان الخاصة بـ WordPress في wp-config.php
- حدّث كل ما كان قديمًا، بما في ذلك PHP، لإغلاق الثغرة التي استغلها المهاجم
إذا كانت لديك نسخة احتياطية نظيفة من قبل بدء الإصابة، فقد تكون استعادتها أسرع. استعد الملفات وقاعدة البيانات، ثم أعد تعيين كلمات المرور وأجرِ التحديثات رغم ذلك، وإلا فسيعود المهاجم ببساطة من الطريق نفسه. ويشرح دليل تنظيف البرمجيات الخبيثة الخاص بنا كل خطوة بمزيد من التفصيل.
الخطوة 4: أبلغ Google بأن المشكلة قد حُلّت
بعد أن يصبح الموقع نظيفًا، عُد إلى Search Console. ومن قسم مشاكل الأمان، اختر طلب مراجعة واشرح باختصار ما أزلته وكيف أغلقت نقطة الدخول. واستخدم أداة عمليات الإزالة لإخفاء عناوين URL المزعجة من النتائج ريثما يعيد Google الزحف إليها، وأعد إجراء عمليات البحث باستخدام site: خلال الأسابيع التالية.
امنع عودة الإصابة حافظ على تحديث الإضافات والقوالب، واحذف ما لا تستخدمه، ولا تمنح صلاحيات المسؤول إلا لمن يحتاج إليها، واستخدم كلمات مرور قوية وفريدة، واحتفظ بنسخ احتياطية منتظمة. فمعظم حالات تكرار الإصابة تأتي عبر الإضافة القديمة نفسها التي تسببت في الإصابة الأولى.
حماية لا تنتظر أن تلاحظ المشكلة بنفسك
صُمم المحتوى المزعج المخفي بحيث لا تجده بمجرد تصفح موقعك. وعلى استضافة cPanel من WebGee، يفحص cPGuard كل تثبيت WordPress في حسابك بحثًا عن الإضافات المعرضة للثغرات والملفات الضارة ومحتوى قاعدة البيانات المصاب، ويرسل إليك تقريرًا أسبوعيًا بالبريد الإلكتروني. كما يشمل ذلك فحص البرمجيات الخبيثة وجدار حماية لتطبيقات الويب والاستعادة عبر JetBackup، وسيراجع مهندسونا المتاحون عبر الدردشة المباشرة على مدار الساعة طوال أيام الأسبوع المشكلة معك إذا ظهر أي شيء.
الأسئلة الشائعة
كيف يمكن لموقعي أن يعرض محتوى مزعجًا لـ Google دون أن يظهر لي؟
تتحقق البرمجية الخبيثة من هوية من يطلب الصفحة. فإذا بدا الزائر زاحفًا لمحرك بحث، تضيف محتوى أو روابط مزعجة. أما إذا كان مسؤولًا مسجّل الدخول أو متصفحًا عاديًا، فتعرض الصفحة الحقيقية، فتبقى الإصابة دون أن يلاحظها أحد لأسابيع.
كيف أتحقق مما إذا كان Google يرى محتوى مزعجًا على موقعي؟
ابحث في Google عن site:yourdomain.com مع كلمات مثل viagra أو casino أو replica. وفي Google Search Console، راجع تقرير "الصفحات" بحثًا عن عناوين URL لم تنشئها أبدًا، وتقرير "مشاكل الأمان" بحثًا عن أي تحذيرات.
هل يكفي حذف الإضافة المزيفة؟
غالبًا لا. يترك المهاجمون أبوابًا خلفية: مستخدمين إداريين إضافيين، أو ملفات أساسية معدّلة، أو مهام cron، أو شيفرة داخل قاعدة البيانات. اتبع خطوات التنظيف كاملة، بما فيها استبدال الملفات الأساسية وإعادة تعيين كل كلمات المرور، وإلا فكثيرًا ما يُصاب الموقع مجددًا خلال أيام.
كيف تمكّن المهاجم من الدخول؟
في أغلب الأحيان عبر إضافة أو قالب قديم به ثغرة معروفة، أو كلمة مرور إدارية مسروقة أو ضعيفة. حدّد نقطة الدخول هذه وأغلقها، وإلا فلن يدوم أثر التنظيف.
متى يتوقف Google عن عرض المحتوى المزعج؟
بعد تنظيف الموقع وطلب المراجعة في Search Console، تُرفع التحذيرات غالبًا خلال أيام قليلة. أما الصفحات المزعجة فتختفي من النتائج كلما أعاد Google الزحف إليها، وقد يستغرق ذلك وقتًا أطول؛ ويمكنك تسريع العملية بأداة الإزالة في Search Console.
