Океан Волос: сайт после взлома

В июле 2026 года взломали хостинг-аккаунт студии, сайт которой работал на Joomla. В каталоге сайта нашли 16 915 заражённых PHP-файлов, около 35 веб-шеллов со случайными именами и дропперы в каждой папке. Базу данных удалили, на домене висела заглушка «Сайт временно недоступен», контента на сайте не осталось.

Вредоносный код использовал клоакинг под поискового робота. Обычный посетитель видел нормальный сайт, а Googlebot получал спам-дорвеи японского интернет-магазина. Снаружи всё выглядело исправным, поэтому ни владельцы, ни клиенты студии ничего подозрительного не замечали, и заражение жило на сайте месяцами, пока проект не попал в SEO7.

Да, спам успел попасть в индекс. За двое суток до чистки поисковые роботы 878 раз обратились к поддельным картам сайта и 661 раз к дорвеям. Масштаб заражения увеличивала вторая, давно заброшенная установка Joomla на том же хостинге, в которой было ещё 25 874 файла.

Причиной взлома был PHP-интерпретатор, работавший на сервере, который отдаёт статьи и фотографии. Обновление Joomla закрыло бы известные дыры и оставило неизвестные. Поэтому исполняемый код с сервера убрали полностью: даже успешно залитый вредоносный файл теперь остаётся мёртвым текстом, выполнять его нечему.

Из копии, снятой задолго до заражения, взяли только данные: тексты, фотографии и структуру адресов. Ни одного PHP-файла и ни одного шаблона Joomla в новый проект не попало. Всё извлечённое заранее проверили по сигнатурам вредоносного кода и только после этого использовали при сборке.

Обходить нерабочий сайт было нечего, поэтому копию базы данных подняли локально и выгрузили содержимое напрямую: 32 страницы, 15 000 слов и структуру меню. Попутно нашлись адрес студии, телефон, полный прайс и условия гарантии. Они лежали в служебных блоках Joomla и не попадали ни в одну карту сайта.

На Joomla было 32 страницы и 15 000 слов. Новый статический сайт содержит 38 страниц и 50 806 слов, то есть контента стало в 3,4 раза больше. Добавились 120 фотографий с уникальными именами, описаниями и метаданными, 51 видео студии на собственном видеохостинге и 472 пары вопрос-ответ.

Все 20 статей блога переписали заново по формуле цитируемости в ИИ-поиске. В начале каждой стоит прямой ответ, дальше идут оглавление, разбор по вопросам со списками и таблицами и мнение мастера студии. Адреса страниц сохранили прежними, поэтому накопленный вес домена не потерялся и перенаправления не понадобились.

Первая внешняя проверка цитируемости в ИИ-поиске дала сайту 53 балла из 100. Чтобы закрыть провалы, добавили разметку для поисковых систем на каждую страницу, канонические адреса, полный набор мета-данных для соцсетей, заголовки безопасности и перевели изображения в современные форматы. В итоге закрыты все провалы первого аудита.

Файлы llms.txt и llms-full.txt собраны специально для языковых моделей и содержат факты о студии. В robots.txt поимённо перечислен 181 поисковый и ИИ-робот. Обе доработки вошли в подготовку сайта к требованиям ИИ-поиска вместе с разметкой, каноническими адресами и мета-данными для соцсетей.

Сайт проверяется автоматически каждые десять минут, оповещения приходят в Telegram. Кроме падения, система отслеживает появление исполняемого кода в разметке, скрытые блоки, спам-слова и подмену содержимого. Главная проверка сравнивает ответ обычному посетителю с ответом поисковому роботу, чтобы клоакинг больше не прятался месяцами.

От взломанного сайта до полноценного нового прошло пять дней, с 29 июля по 3 августа 2026 года. Заглушка на домене лишнего не висела: первая рабочая версия главной страницы встала на её место уже на второй день, а остальные страницы добавлялись на работающий сайт.

Форма на сайте потребовала бы обработчика на сервере, то есть снова исполняемого кода, от которого отказались ради защиты от взлома. Поэтому все кнопки записи ведут напрямую в WhatsApp. На главной есть первый экран с записью на бесплатную консультацию, прайс по прядям, услуги, работы, отзывы и контакты.

Сайт статический, его собирает генератор на Python из шаблона и данных. Контент хранится в файлах вместо базы данных, которая была бы поверхностью атаки, точкой отказа и отдельной процедурой резервного копирования. Видео размещены на Kinescope: плеер подгружается только по клику на обложку, поэтому полсотни роликов не замедляют страницу.