Website WordPress của bạn bỗng chậm bất thường, trắng trang, hoặc khách vào lại bị đẩy sang trang cá cược? Google hiện cảnh báo đỏ, tìm trên mạng ra toàn trang lạ bằng tiếng Nhật, trong khi bạn chẳng hề tạo những trang đó? Có hôm đăng nhập wp-admin thấy thêm tài khoản quản trị không quen, plugin bảo mật tự tắt, nút cài plugin biến mất, hosting báo vượt CPU hay inode tăng đột biến — đó thường là dấu hiệu site đã bị nhiễm mã độc. Càng để lâu càng mất khách, mất uy tín, và mã độc càng khó dọn.

Bài viết này dành cho người không rành kỹ thuật. Không có dòng lệnh phức tạp, chỉ có thao tác bấm chuột trong trang quản trị WordPress và trong bảng điều khiển hosting (iNET OnePanel, cPanel…). Bạn cứ đọc từ từ, làm theo từng bước nhé.

1. Dấu hiệu website bị nhiễm mã độc mà ai cũng nhận ra được

Mã độc thường “ẩn mình” rất khéo, nhưng vẫn để lại dấu vết. Chỉ cần thấy một hoặc hai dấu hiệu dưới đây là bạn nên kiểm tra ngay.

1.1. Xuất hiện tài khoản quản trị lạ

Vào Thành viên (Users) trong wp-admin, nếu thấy những tài khoản Quản trị viên (Administrator) mà bạn không hề tạo, kiểu tên như:

• admin_3f9a2c
• backup_xxxx
• adm_xxxx

…thì gần như chắc chắn kẻ xấu đã vào được và tự tạo “cửa sau” để quay lại bất cứ lúc nào.

1.2. Plugin lạ với cái tên “nghe rất kỹ thuật”

Vào Plugin → Plugin đã cài, để ý những plugin bạn không nhớ đã cài, tên ghép chữ ngẫu nhiên. Một số tên thường gặp khi dọn website bị nhiễm:

• open-scanner-bit, elite-tracker-tap, haven-dashboard-edge
• vapor-balancer-run, forge-archiver-hq, onyx-connector-tap
• agile-dashboard-vox, cache-helper

Nhìn tên thì tưởng là công cụ tối ưu, bảo mật hay bộ nhớ đệm, nhưng thực chất là mã độc đội lốt plugin. Có loại còn tự ẩn khỏi danh sách, nên đừng chủ quan nếu danh sách trông “sạch”.

1.3. Plugin tự tắt, tự bật

Plugin bảo mật hay plugin quan trọng bỗng dưng bị vô hiệu hóa mà không ai đụng tới. Mã độc thường tắt plugin bảo mật trước để dễ hoạt động.

1.4. Bị chuyển hướng sang trang lạ, Google hiện kết quả “kỳ quặc”

• Khách bấm vào website (nhất là từ Google hoặc điện thoại) thì bị đưa sang trang cá cược, cờ bạc, quảng cáo spam.
• Gõ site:tenmiencuaban.com trên Google thấy hàng loạt trang tiếng Nhật, trang bán hàng giả, trang cờ bạc mà website của bạn chưa bao giờ có.

1.5. Website chậm bất thường, trắng trang, lỗi 500

Trang tải ì ạch, có lúc trắng xóa, có lúc báo “500 Internal Server Error”. Nguyên nhân thường là mã độc đang chạy ngầm, ngốn tài nguyên máy chủ.

1.6. Nhận email cảnh báo

Email từ Wordfence, từ plugin bảo mật hoặc từ nhà cung cấp hosting báo phát hiện tệp nguy hiểm, đăng nhập lạ, gửi thư rác… Đừng bỏ qua những email này.

1.7. Không sửa được file, mất nút cài đặt plugin

• Sửa file trong File Manager thì không lưu được, hoặc vừa sửa xong đã bị đổi lại.
• Trong wp-admin, nút “Cài mới”, “Thêm plugin” hay mục sửa giao diện/plugin tự nhiên biến mất (trong khi bạn không hề bật tùy chọn chặn).

1.8. Hosting báo vượt tài nguyên hoặc inode

Hosting gửi thông báo CPU, RAM vượt mức hoặc số lượng file (inode) tăng đột biến. Mã độc hay sinh ra hàng nghìn file rác, nên đây là dấu hiệu rất đáng chú ý.

1.9. Có tác vụ định kỳ (cron job) lạ

Trong mục Cron Jobs của hosting, nếu thấy tác vụ mà bạn không tạo (thường chạy vài phút một lần, nội dung khó hiểu) thì đó có thể là “máy hồi sinh” mã độc: xóa xong lại tự tạo lại.

2. Tự xử lý với XD Security và các bước cơ bản trong wp-admin

Quan trọng: Trước khi dọn dẹp, hãy sao lưu (backup) toàn bộ website (xem phần 3). Dù bản sao lưu đang nhiễm, nó vẫn giúp bạn khôi phục nếu lỡ tay xóa nhầm.

2.1. Dùng XD Security để quét và dọn

XD Security là plugin bảo mật WordPress ưu tiên sự đơn giản cho người không chuyên. Cách dùng cơ bản:

1. 1. Cài đặt và kích hoạt XD Security như một plugin bình thường.
2. 2. Trong XD Security, chạy quét toàn bộ website.
3. 3. Xem kết quả: plugin sẽ liệt kê các mục đáng ngờ như file lạ, plugin lạ, tài khoản quản trị bất thường.
4. 4. Với các file bị gắn cờ, chọn cách ly (quarantine) thay vì xóa ngay. Cách ly là đưa file vào “phòng riêng” để nó không chạy được nữa; nếu lỡ cách ly nhầm file cần thiết thì vẫn khôi phục lại được.
5. 5. Xóa các tài khoản quản trị lạ mà kết quả quét chỉ ra.
6. 6. Khóa chức năng sửa file trong wp-admin, để dù kẻ xấu có vào được trang quản trị cũng không chèn mã trực tiếp được.

Sau khi xử lý xong, chạy quét lại một lần nữa để chắc chắn kết quả đã sạch.

2.2. Các bước cơ bản trong wp-admin

Dù dùng plugin nào, bạn cũng nên tự làm thêm những việc sau:

Xóa tài khoản quản trị lạ
Vào Thành viên, lọc vai trò Quản trị viên, xóa những tài khoản không rõ nguồn gốc. Khi WordPress hỏi xử lý bài viết của tài khoản đó, chọn chuyển nội dung cho tài khoản của bạn.

Xóa plugin lạ và plugin không dùng
Vô hiệu hóa rồi xóa hẳn các plugin lạ. Plugin thật nhưng không còn dùng cũng nên xóa luôn, vì càng ít plugin càng ít “cửa” cho kẻ xấu.

Cập nhật mọi thứ
Vào Bảng tin → Cập nhật, cập nhật WordPress (core), toàn bộ plugin và giao diện (theme). Phần lớn các vụ nhiễm mã độc đều bắt nguồn từ plugin hoặc theme cũ chưa vá lỗi. Nếu đang dùng theme hay plugin “crack”, “null” tải trên mạng, hãy bỏ ngay vì đó là nguồn lây nhiễm số một.

Đổi mật khẩu
Đổi mật khẩu cho tất cả tài khoản quản trị. Mật khẩu nên dài từ 12 ký tự, có chữ hoa, chữ thường, số và ký tự đặc biệt. Không dùng lại mật khẩu Facebook, Zalo hay email.

Đặt lại khóa đăng nhập (salts)
WordPress có các “khóa bí mật” (gọi là salts) để giữ phiên đăng nhập. Đặt lại các khóa này sẽ đá văng mọi người đang đăng nhập, kể cả kẻ xấu. Bạn chỉ cần cài một plugin đổi salts (ví dụ: Salt Shaker), bấm đổi khóa, sau đó đăng nhập lại là xong. Không cần sửa file gì cả.

3. Checklist bảo mật cơ bản trên hosting (OnePanel / cPanel)

Mọi việc dưới đây đều làm bằng giao diện bấm chuột trong bảng điều khiển hosting. Bạn có thể in ra và đánh dấu từng mục:

• Sao lưu trước khi dọn: kiểm tra hosting có bản backup tự động không, rồi tạo thêm một bản backup mới (cả file lẫn cơ sở dữ liệu) trước khi bắt đầu dọn dẹp.
• Đổi mật khẩu hosting, FTP và cơ sở dữ liệu (database). Nếu đổi mật khẩu database, nhớ cập nhật lại thông tin trong website (hoặc dùng chức năng đổi mật khẩu có tự cập nhật của hosting nếu có).
• Nâng PHP lên bản 8.x (8.1 trở lên) trong mục chọn phiên bản PHP. Bản PHP cũ không còn được vá lỗi bảo mật.
• Bật SSL (https), ổ khóa trên trình duyệt. Hầu hết hosting hiện nay đều có SSL miễn phí.
• Bật trình quét mã độc của hosting. Ví dụ trên iNET có One Security, cho phép quét theo từng tên miền. Hãy quét tất cả tên miền đang có trên hosting.
• Xóa website cũ, không dùng và tên miền đã hết hạn. Một website cũ bị bỏ quên có thể lây sang toàn bộ các website khác trên cùng hosting.
• Kiểm tra Cron Jobs trong bảng điều khiển, xóa tác vụ lạ mà bạn không tạo.
• Giữ File Manager gọn gàng: không để các file sao lưu .zip nằm lung tung trong thư mục website, và không được có file PHP trong thư mục uploads (thư mục này chỉ nên chứa hình ảnh, tài liệu).
• Mỗi người một tài khoản quản trị riêng, không dùng chung một tài khoản cho cả nhóm. Ai nghỉ việc thì xóa tài khoản người đó.
• Bật xác thực 2 lớp (2FA) cho tài khoản hosting và tài khoản quản trị WordPress.

4. Khi nào nên nhờ chuyên gia?

Tự dọn được là rất tốt, nhưng có những trường hợp vượt quá khả năng tự xử lý. Nếu gặp một trong các tình huống sau, bạn nên nhờ người có kinh nghiệm để tránh mất thêm thời gian và mất khách:

4.1. Dọn xong lại bị nhiễm lại

Xóa plugin lạ, xóa admin lạ, vài ngày sau mọi thứ quay lại y như cũ. Nghĩa là vẫn còn cửa hậu (backdoor) chưa được tìm ra.

4.2. Mã độc ẩn trong file giao diện và thư mục wp-content

Có loại mã độc giấu “bộ nạp” (loader) bên trong file của theme, plugin thật hoặc rải rác trong thư mục wp-content, thậm chí trong cơ sở dữ liệu. Những đoạn mã này được mã hóa, nhìn bằng mắt thường không thể nhận ra.

4.3. Nhiều website trên cùng một hosting đều bị nhiễm

Đây là tình huống rất hay gặp khi bạn có nhiều website trên một hosting dùng chung. Chỉ cần dọn sót một website là các website khác bị lây lại.

4.4. Bị Google đưa vào danh sách đen

Trình duyệt hiện cảnh báo đỏ “Trang web lừa đảo/nguy hiểm”, lượng khách từ Google tụt mạnh. Lúc này cần dọn sạch triệt để rồi mới gửi yêu cầu xem xét lại cho Google được.

Liên hệ Vĩnh XD ngay hôm nay

Website bị nhiễm càng lâu thì càng khó dọn và càng mất khách. Bạn cứ nhắn cho mình, mình sẽ kiểm tra sơ bộ và tư vấn gói phù hợp: