Cryptominer pe WordPress: semnele că site-ul tău minează criptomonede pentru altcineva

Site-ul tău se încarcă tot mai greu, iar hostingul îți trimite avertismente despre „utilizare excesivă de resurse”, deși nu ai schimbat nimic. E posibil să ai un cryptominer pe WordPress — un script ascuns care folosește procesorul vizitatorilor tăi sau al serverului ca să mineze criptomonede pentru altcineva. Nu-ți fură parola direct și nu-ți defigurează pagina, tocmai de aceea poate trece neobservat săptămâni întregi.

Ce este, de fapt, un cryptominer pe WordPress

Mineritul de criptomonede cere putere de calcul multă și constantă. În loc să plătească pentru servere, atacatorii injectează cod (de tip cryptojacking) în site-uri populare și pun dispozitivele altora să facă munca. Practic, fiecare persoană care îți deschide pagina donează, fără să știe, o parte din procesorul ei către portofelul unui străin.

Există două variante. Prima rulează în browserul vizitatorului: îi încinge telefonul, îi consumă bateria și îi încetinește tot dispozitivul cât stă pe site. A doua, mai gravă, rulează direct pe serverul tău printr-un fișier PHP infectat și îți mănâncă resursele de găzduire până când providerul îți suspendă contul.

WordPress e ținta preferată tocmai pentru că rulează aproape jumătate din internet. Un atac automat scanează mii de site-uri pe minut, caută aceeași vulnerabilitate cunoscută și infectează tot ce găsește neactualizat. Nu ești vizat personal — ești doar o adresă dintr-o listă, iar asta e vestea proastă: oricine poate păți la fel.

Semnele că site-ul tău minează criptomonede pentru altcineva

Un miner e proiectat să stea ascuns, dar lasă mereu urme. Iată semnalele pe care merită să le urmărești:

• Site brusc mult mai lent, fără o cauză evidentă (plugin nou, campanie de trafic).
• Consum de CPU la maximum pe server, raportat de hosting, chiar și noaptea, când nu ai trafic.
• Ventilatorul laptopului sau telefonul vizitatorilor pornește imediat ce intră pe pagină.
• Conexiuni către domenii necunoscute sau pooluri de minat, vizibile în consola browserului.
• Fișiere PHP modificate recent, pe care nu le recunoști.
• Alerte repetate de la hosting despre depășirea limitei de resurse.

Un singur semn poate avea explicații banale — un plugin greoi, o imagine uriașă, o oră de vârf. Trei sau patru împreună, în schimb, indică aproape sigur o infecție și merită investigate imediat.

Cum ajunge minerul pe site

Nimeni nu instalează un miner intenționat. Ajunge acolo prin aceleași breșe ca orice malware. Cele mai frecvente porți de intrare sunt pluginurile și temele neactualizate, cu vulnerabilități cunoscute public, temele „nulled” (piratate), care vin deseori cu backdoor inclus, și parolele slabe de administrator, sparte prin atacuri brute-force.

O singură breșă e suficientă: atacatorul urcă un fișier, îl execută și pornește mineritul, apoi ascunde codul astfel încât o scanare superficială să nu-l observe. De aceea, actualizările la zi și igiena parolelor contează enorm — le poți aprofunda în ghidul oficial de securizare WordPress.

Ce faci dacă bănuiești o infecție

Dacă bifezi câteva dintre semnele de mai sus, tratează situația ca pe o infecție confirmată, nu ca pe o simplă încetinire. Pașii de bază sunt:

• Fă un backup complet (fișiere plus bază de date) înainte de orice intervenție.
• Scanează cu un plugin de securitate și verifică integritatea fișierelor de bază.
• Caută cod injectat în header.php, footer.php și în fișierele modificate recent.
• Schimbă toate parolele: admin, FTP, bază de date și cont de hosting.
• Actualizează WordPress, tema și toate pluginurile la ultima versiune.

Curățarea manuală e riscantă: un singur fișier ratat înseamnă reinfectare în câteva zile. Dacă nu ești sigur că ai eliminat tot, un serviciu profesionist de devirusare WordPress caută sistematic tot codul rămas și identifică poarta de intrare. Poți începe și cu un audit gratuit, ca să afli exact ce e infectat înainte să plătești ceva.

Când merită să ceri ajutor specializat

Dacă site-ul îți aduce clienți sau vânzări, fiecare zi cu miner activ înseamnă viteză proastă, posibile penalizări SEO și riscul ca hostingul să-l suspende. În astfel de cazuri, câteva ore de curățare profesionistă costă mult mai puțin decât zilele de trafic și de încredere pierdute.

Cum previi reinfectarea

Un site curățat, dar lăsat cu aceleași vulnerabilități, se reinfectează rapid. Prevenția reală înseamnă câteva obiceiuri simple, ținute constant: actualizări la zi pentru core, teme și pluginuri; parole unice și puternice, cu autentificare în doi pași; un firewall (WAF) care blochează încărcările suspecte; și monitorizarea integrității fișierelor, ca să fii anunțat imediat ce ceva se modifică fără voia ta.

Un cryptominer pe WordPress nu e o catastrofă dacă îl prinzi din timp. Urmărește viteza site-ului, ascultă ce-ți raportează hostingul și verifică periodic fișierele. Cu puțină igienă digitală și o scanare regulată, site-ul tău rămâne al tău — și muncește pentru tine, nu pentru portofelul altcuiva.