Каждый владелец сайта хотя бы раз сталкивался с такой ситуацией.
Нужен платный модуль.
Стоит он 10–20 тысяч рублей.
И тут поисковик предлагает решение:
«Нулленая версия бесплатно.»
На форуме десятки комментариев:
«Работает отлично!»
«Поставил — всё нормально.»
«Проверено!»
Кажется, что можно неплохо сэкономить.
Но именно так начинаются многие взломы сайтов.
Что такое "нулленый" скрипт
Нулленым называют программное обеспечение, из которого удалили или обошли систему лицензирования.
Это может быть:
- CMS;
- интернет-магазин;
- шаблон;
- модуль;
- плагин;
- коммерческая библиотека.
После изменения защиты такой продукт распространяют бесплатно через форумы, Telegram-каналы и файлообменники.
На первый взгляд всё выглядит легально.
Сайт работает.
Ошибок нет.
Но это не означает, что код безопасен.
Почему злоумышленникам выгодно раздавать такие скрипты бесплатно
Задайте себе простой вопрос.
Если модуль стоит 15 000 рублей, зачем кому-то бесплатно выкладывать его в открытый доступ?
Ответ прост.
Потому что зарабатывают совсем на другом.
Например:
- получают доступ к тысячам сайтов;
- создают ботнет;
- рассылают спам;
- устанавливают веб-шеллы;
- крадут данные пользователей;
- продают доступ другим злоумышленникам.
Стоимость одного взломанного сайта может многократно превышать цену лицензии.
Что обычно добавляют в нулленые скрипты
Многие представляют вирус как отдельный файл.
На практике всё гораздо интереснее.
Вредоносный код может быть спрятан:
- в одном дополнительном PHP-файле;
- в функции активации лицензии;
- в обработчике ошибок;
- в классе обновлений;
- в JavaScript;
- в cron-задаче;
- в обработчике загрузки файлов.
Иногда это всего несколько строк среди десятков тысяч строк кода.
Самые распространённые "сюрпризы"
После установки могут появиться:
- скрытая загрузка удалённого PHP-кода;
- создание дополнительного администратора;
- отправка базы данных на внешний сервер;
- возможность удалённого выполнения команд;
- массовая рассылка спама;
- скрытая реклама;
- майнинг криптовалюты;
- загрузка новых вредоносных модулей.
Причём всё это может работать месяцами совершенно незаметно.
Почему антивирус ничего не находит
Потому что вредоносный код часто выглядит как обычный PHP.
Например:
include 'license.php';
или
require_once 'update.php';
Внутри может находиться вполне рабочая логика лицензирования… вместе с дополнительными функциями, которые выполняют скрытые действия.
Иногда вредоносный код активируется только после выполнения определённых условий: через несколько дней после установки, при обращении с конкретного IP-адреса или после получения специального запроса. Поэтому даже если файл проверяли сразу после скачивания и ничего подозрительного не обнаружили, это не гарантирует его безопасность.
Форумы тоже далеко не всегда безопасны
Распространённое заблуждение:
«Если файл скачали тысячу человек, значит он безопасен.»
На самом деле большинство пользователей никогда не проверяют исходный код.
Если модуль работает — значит всё хорошо.
Но скрытая функциональность может никак себя не проявлять до тех пор, пока злоумышленник не решит её использовать.
Чем это заканчивается
Через несколько месяцев владелец сайта замечает:
- резкий рост нагрузки;
- появление неизвестных файлов;
- массовую рассылку писем;
- блокировку сайта поисковыми системами;
- жалобы посетителей;
- предупреждение хостинга.
И очень часто никто уже не связывает это с тем самым бесплатным модулем, установленным полгода назад.
Как защитить сайт
Лучшее решение — использовать программное обеспечение из официальных источников.
Кроме этого стоит:
- регулярно обновлять CMS и плагины;
- проверять изменения файлов;
- контролировать появление новых PHP-файлов;
- анализировать журналы сервера;
- использовать веб-фильтр (WAF);
- периодически выполнять проверку сайта на наличие вредоносного кода.
Даже если заражение произошло давно, постоянный мониторинг часто позволяет обнаружить его до того, как злоумышленники успеют нанести серьёзный ущерб.
А если уже установили такой модуль?
Это ещё не означает, что сайт обязательно скомпрометирован.
Но имеет смысл провести полную проверку:
- файловой системы;
- базы данных;
- административных пользователей;
- планировщика задач;
- журналов сервера;
- сетевой активности;
- установленного PHP-кода.
Такой аудит помогает убедиться, что в системе нет скрытых механизмов доступа или вредоносных изменений.
Итоги
Экономия на лицензии иногда обходится значительно дороже её стоимости.
Даже если нулленый модуль работает без ошибок, это ещё не означает, что он безопасен. Большинство скрытых угроз рассчитаны именно на то, чтобы оставаться незаметными как можно дольше.
Поэтому при использовании сторонних компонентов важно не только выбирать проверенные источники, но и регулярно контролировать состояние сайта, отслеживать изменения файлов и проверять проект на наличие вредоносного кода.
Если вы не уверены, что установленный несколько лет назад модуль действительно безопасен, имеет смысл провести комплексную диагностику сайта. Например, с помощью Inspector Pro Security Shield можно проверить изменения файлов, обнаружить подозрительный PHP-код, найти опасные функции, выявить известные веб-шеллы и получить отчёт о потенциальных рисках безопасности. Такой аудит занимает значительно меньше времени, чем восстановление сайта после успешного взлома.