Como identificar e remover um backdoor instalado no seu site Print

Como identificar e remover um backdoor instalado no seu site

Oi! Aqui é a Sensei da GeHost 🥋. Se você chegou nesse guia, provavelmente notou algo estranho no seu site — uma página que não deveria existir, um redirecionamento maluco, ou seu provedor de e-mail/Google avisando que o domínio está "comprometido". Respira: isso tem solução, e eu vou te mostrar o caminho, passo a passo, sem enrolação técnica.

O que é um "backdoor", afinal?

Um backdoor é um arquivo malicioso (geralmente um script) que um invasor deixa escondido no seu site depois de conseguir acesso indevido — muitas vezes por um plugin/tema desatualizado, uma senha fraca ou uma vulnerabilidade em algum componente do CMS (WordPress, por exemplo). Esse arquivo funciona como uma "porta dos fundos": mesmo depois que você troca a senha, o invasor consegue voltar a entrar por ali, porque o problema não é a senha — é o arquivo escondido.

Dica da Sensei: backdoor não é a mesma coisa que "site fora do ar". Se o site só caiu, o problema pode ser outro. Backdoor costuma vir acompanhado de sinais mais específicos — veja a seguir.

Sinais de que seu site pode estar com um backdoor

• Páginas ou arquivos que você nunca criou aparecendo no site (ex: xrfg.php, wp-tmp.php, nomes estranhos e aleatórios).
• O site redireciona visitantes para outra página (muitas vezes de apostas, remédios ou conteúdo adulto).
• Google, navegador ou antivírus mostrando aviso de "site perigoso" ou "malware".
• Usuários administradores no seu CMS que você não reconhece.
• E-mails sendo enviados em massa pelo seu domínio sem que você tenha mandado nada (isso pode indicar um script disparando spam).
• Arquivos modificados recentemente, sem que você (ou sua equipe) tenha mexido neles.

Passo 1 — Faça um backup antes de mexer em qualquer coisa

Antes de sair apagando arquivo por aí, gere um backup completo da conta. Isso te dá uma rede de segurança: se algo der errado durante a limpeza, você não perde tudo.

1. No cPanel, acesse a ferramenta Backup.
2. Gere um Backup Completo (ou, no mínimo, do diretório de arquivos e do banco de dados).
3. Guarde esse backup fora do servidor (no seu computador ou num serviço de nuvem), separado do site.

Passo 2 — Vasculhe os arquivos pelo Gerenciador de Arquivos

Agora vamos caçar o intruso. Acesse o Gerenciador de Arquivos no cPanel e entre na pasta public_html (é onde seu site "mora").

1. Ordene os arquivos por data de modificação. A maioria dos gerenciadores de arquivo permite clicar na coluna "Modificado" — arquivos alterados numa data que você não reconhece são suspeitos, especialmente se estiverem fora das pastas normais de upload.
2. Desconfie de arquivos .php em lugares estranhos. Por exemplo, dentro da pasta de uploads de imagens (wp-content/uploads) não deveria existir nenhum arquivo .php — imagens não são PHP. Se encontrar um, é um forte candidato a backdoor.
3. Nomes aleatórios ou "quase iguais" a arquivos legítimos chamam atenção: coisas como wp-config-backup.php, class.wp.php (fora do lugar certo) ou uma sequência de letras/números sem sentido.
4. Se você tiver alguma noção de código, pode abrir o arquivo suspeito com o editor do próprio Gerenciador de Arquivos e procurar por funções como eval(), base64_decode(), gzinflate() ou system() combinadas de forma ofuscada — é a "assinatura" clássica de scripts maliciosos. Se você não tem essa noção técnica, não se preocupe: é exatamente pra isso que existe o suporte (mais abaixo).

Passo 3 — Revise os usuários e senhas do seu site

Se o seu site é WordPress (ou outro CMS com painel de administração), entre na lista de usuários e confira:

• Existe algum usuário administrador que você não criou? Remova o acesso dele imediatamente.
• Troque a senha de todos os usuários com acesso administrativo, usando senhas fortes e únicas.
• Troque também a senha da conta de hospedagem (cPanel) e das contas de e-mail vinculadas ao domínio, caso desconfie que também foram acessadas.

Passo 4 — Atualize tudo

Backdoors quase sempre entram por uma porta que já existia: um plugin, tema ou versão do CMS desatualizada, com uma vulnerabilidade conhecida. De nada adianta limpar o arquivo malicioso se a "brecha" que deixou o invasor entrar continuar aberta.

1. Atualize o CMS (WordPress, por exemplo) para a versão mais recente.
2. Atualize todos os plugins e temas.
3. Remova plugins e temas que você não usa mais — cada um deles é uma porta a menos pra vigiar.

Passo 5 — Confirme que o site está limpo

Depois de remover os arquivos suspeitos e atualizar tudo, monitore o site por alguns dias: verifique se as páginas estranhas sumiram, se não há mais redirecionamentos e se não aparecem novos arquivos suspeitos no Gerenciador de Arquivos.

Dica da Sensei: depois de limpar, gere um novo backup do site já limpo. Assim, se algo passar despercebido e voltar a acontecer, você tem um ponto de restauração "saudável" pra usar como referência.

Quando chamar o suporte da GeHost

Se você não se sente confortável mexendo em arquivos de código, ou se limpou tudo e o problema voltou, não force a barra sozinho — abra um chamado pelo painel.gehost.com.br contando o que você encontrou (páginas estranhas, arquivos suspeitos, avisos de segurança). Nossa equipe pode te ajudar a investigar e orientar a limpeza com mais profundidade.

Segurança é um cuidado contínuo, não uma tarefa de uma vez só — manter tudo atualizado e revisar seus acessos de vez em quando é a melhor forma de não passar por isso de novo. Qualquer dúvida, a gente tá aqui! 🥋