Limpar ficheiros detetados como malware

Depois de uma intrusão podem aparecer portas traseiras, código injetado, páginas de phishing ou scripts de envio de spam. Uma deteção de malware é um sinal que deve ser investigado: por si só não identifica a via de entrada nem delimita tudo o que mudou.

Antes de alterar algo, conserve as evidências disponíveis e determine que aplicações, bases de dados, utilizadores e credenciais podem estar afetados. Se existir uma cópia de segurança anterior ao primeiro indício conhecido, restaurá-la pode fazer parte da recuperação.

Um restauro não demonstra que a conta ficou limpa nem corrige a causa da intrusão. Também é preciso atualizar ou substituir os componentes vulneráveis, rever utilizadores e tarefas agendadas, reinstalar o código fiável a partir de fontes oficiais e alterar as credenciais que possam estar comprometidas.

Quando não existir uma cópia adequada, a limpeza deve abranger toda a conta e não apenas os ficheiros assinalados por um analisador. Convém colocar o site em manutenção, afastar os ficheiros suspeitos para uma quarentena fora dos diretórios públicos e verificar depois o funcionamento e os registos.

Entre as ferramentas disponíveis encontra-se o Imunify360, que permite localizar e tratar determinados ficheiros suspeitos.

A opção Malware Cleanup tenta retirar o código que detetou. A limpeza automática pode modificar ou eliminar ficheiros e não garante que a aplicação continue a funcionar, que não fiquem outras persistências ou que a via de entrada tenha sido fechada. Conserve uma cópia antes de agir e reveja o resultado.

A disponibilidade e as ações visíveis dependem da configuração do servidor. Se a deteção afetar um site em produção ou não conseguir determinar o alcance, contacte o suporte antes de apagar ou excluir ficheiros.

Verificar o resultado de cada ação

Anote que ficheiro foi limpo, eliminado ou deixado pendente e compare-o com a sua cópia anterior. Teste a função da aplicação a que pertencia: página inicial, acesso, formulário ou tarefa. Se falhar, mantenha o acesso contido e recupere uma versão fiável do componente; não volte a publicar o ficheiro infetado para resolver o erro.

Repita a análise depois das correções e verifique se reaparecem ficheiros ou alterações. Se as deteções continuarem, investigue o resto da conta e a persistência. O nome Malware Cleanup descreve a ação sobre as deteções; não é uma garantia de recuperação integral.