О чём речь и почему я считаю это важным для сайта
Речь не о том, что сайт взломали. Речь о том, что кто-то уже внутри — и использует легитимные инструменты, чтобы не быть замеченным. Это не про уязвимость в WordPress или PHP. Это про то, как система может быть скомпрометирована через то, что вы считаете безопасным.
Я считаю, что это важно, потому что уязвимость не всегда в коде. Иногда она в том, что система позволяет делать что-то, что не должно быть возможно. И если это не контролируется — угроза остаётся, даже если сайт «работает».
Как это устроено — что тут вообще происходит
В статье описана ситуация, когда злоумышленник не пытался обойти защиту — он зашёл внутрь легитимной виртуальной среды, которая сама по себе не вызывает подозрений. Windows Sandbox — это встроенная функция, которая работает как временная виртуальная машина. Она не видна EDR, не требует установки, и запуск её — штатная операция.
Атакующий не стал скрывать себя. Он использовал это как укрытие: запускал инструменты внутри, передавал данные через общую папку, и даже настроил автозапуск через планировщик. Получилось, что система работала «как надо», но внутри уже был чужой процесс.
Как понять, что это касается вашего сайта («как я это проверяю»)
Я проверяю это первым делом, когда смотрю на систему. Не только на сервер, но и на то, что может быть запущено на уровне ОС. Особенно если сайт работает на Windows-сервере или в среде, где доступны виртуальные машины.
Проверяю наличие запланированных задач, которые запускают wsb.exe, смотрю, нет ли нестандартных конфигурационных файлов .wsb, и проверяю, какие процессы запускаются в фоне. Это не про сложные инструменты — это про то, что система может быть использована в обход защиты.
Что с этим делать («что я делаю в таких случаях»)
Первое — не паниковать. Угроза не в том, что кто-то «взломал» сайт. Она в том, что кто-то уже внутри, и использует легитимные возможности. Поэтому чистка — только начало.
Я начинаю с резервной копии, затем анализирую системные процессы, проверяю планировщик, ищусь в конфигурациях. Если нахожу нестандартные точки — удаляю, настраиваю контроль доступа, и отключаю ненужные функции. Главное — не просто вычистить, а понять, как это попало.
Что здесь даёт поддержка
На постоянной поддержке мы не просто чистим заражение — мы закрываем причину. Заражают не «хакеры, выбранные вами». Заражают боты, которые сканируют уязвимости. Если система позволяет запускать виртуальные среды — мы это контролируем.
У нас мониторинг доступности и ключевых страниц каждые несколько минут, 24/7. Это значит, что даже если кто-то попробует активировать скрытый процесс, мы увидим отклонение в поведении раньше, чем вы заметите. И не просто увидим — сразу начнём разбираться.
Наши клиенты не думают о безопасности — они просто работают. А мы уже давно закрыли все такие риски. Попробуйте аудит безопасности — бесплатно, без обязательств.