সাইট সংক্রমিত হলে যা ঘটে: ম্যালওয়্যার সুরক্ষার পুরো ছবি

শুক্রবার সকাল সাড়ে আটটা। চট্টগ্রামের একটা ফার্নিচার শোরুমের মালিক ফোন দিলেন, গলা কাঁপছে — “ভাই, গুগলে আমার দোকানের নাম লিখলে লাল স্ক্রিন আসে, লেখা Deceptive site ahead।” একই সকালে হোস্টিং কোম্পানির মেইল: অ্যাকাউন্ট সাসপেন্ডেড, কারণ ওই সার্ভার থেকে রাতভর কয়েক হাজার স্প্যাম মেইল বেরিয়েছে। সাইটটা বানানো হয়েছিল দুই বছর আগে। এই দুই বছরে কেউ একবারও আপডেট বাটনে চাপ দেয়নি।

এই গল্পটা আমরা বছরে অন্তত পনেরো-বিশবার শুনি, শুধু শহরের নাম আর ব্যবসার ধরন বদলায়। ম্যালওয়্যার সুরক্ষা বলতে বেশিরভাগ মানুষ বোঝেন একটা অ্যান্টিভাইরাস কিনে ফেলা। বাস্তবে ব্যাপারটা অনেকটা দোকানের শাটারের মতো — শাটার কেনা এক জিনিস, প্রতি রাতে নামানো আর তালা দেওয়া আরেক জিনিস। এই লেখায় আমরা একটা সংক্রমিত সাইটের ভেতরটা খুলে দেখব: সংক্রমণ কেমন দেখতে হয়, কোথা থেকে ঢোকে, আর কীভাবে ধাপে ধাপে পরিষ্কার করে দরজাগুলো বন্ধ করতে হয়।

সংক্রমণের চেহারা: কোন লক্ষণে বুঝবেন

ম্যালওয়্যার আজকাল সাইট ভেঙে ফেলে না — কারণ ভাঙা সাইট থেকে আক্রমণকারীর কোনো লাভ নেই। সে চায় আপনার সাইট চালু থাকুক, র‍্যাঙ্ক করুক, আর তার ভেতর দিয়ে চুপচাপ স্প্যাম লিংক, রিডাইরেক্ট বা মেইল বেরোতে থাকুক। তাই লক্ষণগুলো সাধারণত পরোক্ষ:

• গুগলে সাইটের নাম লিখলে আপনার পেজ টাইটেলের জায়গায় অন্য ভাষার শব্দ, বা “cheap loan”, “casino”, “ভিসা” জাতীয় শব্দ দেখাচ্ছে — কিন্তু সাইট ব্রাউজারে খুললে সব স্বাভাবিক
• ডেস্কটপ থেকে সাইট ঠিকঠাক খোলে, অথচ মোবাইলে বা ফেসবুক ব্রাউজার থেকে ঢুকলেই বেটিং বা লোন অ্যাপে রিডাইরেক্ট হয়ে যায়
• হোস্টিং প্যানেলে হঠাৎ CPU বা ব্যান্ডউইথ ব্যবহার তিন-চার গুণ, যদিও ভিজিটর বাড়েনি
• আপনার ডোমেইন থেকে পাঠানো সাধারণ মেইলও ক্লায়েন্টের ইনবক্সে না গিয়ে স্প্যামে পড়ছে
• ওয়ার্ডপ্রেস ইউজার লিস্টে অচেনা একটা অ্যাডমিন অ্যাকাউন্ট, ইমেইলটা কোনো রাশিয়ান বা টেম্প-মেইল ডোমেইনের

মোবাইল-অনলি রিডাইরেক্ট সবচেয়ে বিপজ্জনক, কারণ মালিক নিজের ল্যাপটপ থেকে সাইট দেখে নিশ্চিন্ত থাকেন। বাংলাদেশে আপনার ট্রাফিকের ৮০ শতাংশের বেশি মোবাইল — অর্থাৎ ক্ষতিটা হচ্ছে ঠিক সেই দর্শকদের ওপরেই যাদের আপনি দেখতে পাচ্ছেন না।

দোষটা আসলে কার: চারটা সাধারণ কারণ

প্রায় প্রতিটা কেসে কারণ ঘুরেফিরে এই চারটার মধ্যেই থাকে। কোনো রহস্যময় হ্যাকার নয়, সাধারণত একটা অটোমেটেড বট, যে ইন্টারনেটজুড়ে পরিচিত দুর্বলতা খুঁজে বেড়ায়।

• নাল্ড থিম ও প্লাগইন। ফেসবুক গ্রুপ থেকে নামানো “প্রিমিয়াম থিম ফ্রি” ফাইলটা আসলে ফ্রি নয় — দাম আপনি দিচ্ছেন ব্যাকডোর দিয়ে। ৳৫,০০০ টাকার থিম বাঁচাতে গিয়ে ৳৫০,০০০ টাকার ক্লিনআপ বিল আমরা বহুবার দেখেছি।
• আপডেট না করা। জনপ্রিয় প্লাগইনের একটা দুর্বলতা প্রকাশ পাওয়ার ৪৮ ঘণ্টার মধ্যেই বটগুলো সেটা খুঁজতে শুরু করে। আপনার সাইট টার্গেট নয়, আপনি শুধু তালিকায় আছেন।
• এক cPanel-এ পাঁচটা সাইট। একটা সাইট সংক্রমিত হলে বাকি চারটাও যায়, কারণ ফাইলগুলো একই ইউজারের অধীনে। এজেন্সি বা রিসেলাররা প্রায়ই এই ভুলটা করেন।
• চুরি যাওয়া পাসওয়ার্ড। ক্র্যাকড সফটওয়্যার বা অ্যাক্টিভেটর দিয়ে সাজানো ল্যাপটপে ইনফো-স্টিলার বসে থাকে, যা ব্রাউজারে সেভ করা cPanel ও FTP পাসওয়ার্ড তুলে নেয়। সাইট নয়, ডেভেলপারের পিসিই ছিল আসল দরজা।

ধাপ ১: রক্তক্ষরণ থামান

সংক্রমণ ধরা পড়লে প্রথম কাজ পরিষ্কার করা নয় — ছড়ানো বন্ধ করা। সাইট মেইনটেন্যান্স মোডে দিন বা হোস্টিং থেকে সাময়িকভাবে অফলাইন করুন। এরপর cPanel, ডাটাবেস, FTP/SFTP, ওয়ার্ডপ্রেস অ্যাডমিন — প্রতিটার পাসওয়ার্ড বদলান, এবং ওয়ার্ডপ্রেসের salt কী রিজেনারেট করে সব লগইন সেশন বাতিল করুন। পুরোনো পাসওয়ার্ড হাতে থাকলে আক্রমণকারী পরিষ্কার করার সাথে সাথেই আবার ঢুকে পড়বে, এবং সেটাই সবচেয়ে হতাশাজনক অভিজ্ঞতা।

ধাপ ২: ঠিক কোথায় লুকিয়ে আছে

ম্যালওয়্যার সাধারণত কয়েকটা চেনা জায়গাতেই বসে। ফাইল ম্যানেজার বা SSH থেকে এই জায়গাগুলো আগে দেখুন — বেশিরভাগ কেসে এখানেই মিলে যায়:

• wp-content/uploads ফোল্ডারের ভেতর কোনো .php ফাইল — ছবির ফোল্ডারে PHP থাকার কোনো বৈধ কারণ নেই
• .htaccess-এ ইউজার-এজেন্ট বা রেফারার দেখে রিডাইরেক্ট করার নিয়ম
• wp-config.php-র একদম শুরু বা শেষে যোগ করা অদ্ভুত কোড ব্লক
• wp-content/mu-plugins — এই ফোল্ডারের প্লাগইন অ্যাডমিন প্যানেলে দেখাই যায় না, তাই এটা লুকানোর প্রিয় জায়গা
• ডাটাবেসের wp_options টেবিলে ইনজেক্ট করা স্ক্রিপ্ট, আর সার্ভারের cron জবে রাখা রি-ইনফেকশন স্ক্রিপ্ট

গত ৭ দিনে পরিবর্তিত ফাইল খুঁজে বের করা সবচেয়ে দ্রুত পদ্ধতি। SSH থাকলে find . -type f -mtime -7 -name "*.php" চালালেই সন্দেহভাজন তালিকা হাতে চলে আসে। eval(, base64_decode(, gzinflate( — এই শব্দগুলো একসাথে এক লাইনে দেখলে ধরে নিন পেয়ে গেছেন।

ধাপ ৩: পরিষ্কার করবেন না, প্রতিস্থাপন করুন

সংক্রমিত ফাইল থেকে খারাপ লাইন মুছে দেওয়ার চেষ্টা সময়ের অপচয় — একটা লাইন মিস করলেই সব ফিরে আসবে। বরং ওয়ার্ডপ্রেস কোর নতুন করে ইনস্টল করুন, প্রতিটা প্লাগইন ও থিম ডিলিট করে অফিসিয়াল সোর্স থেকে তাজা কপি নামান। শুধু wp-content/uploads আর ডাটাবেস রাখুন — এবং সেই দুটোও স্ক্যান করার পরে। যে নাল্ড থিমটা এই ঝামেলার কারণ, সেটা এবার বৈধভাবে কিনুন বা বাদ দিন; না হলে ছয় মাস পর আবার একই ফোন কল আসবে।

ধাপ ৪: দরজাগুলো বন্ধ করা

পরিষ্কার সাইট মানেই নিরাপদ সাইট নয়। ক্লিনআপের পরপরই এই কাজগুলো করুন: অ্যাডমিন অ্যাকাউন্টে টু-ফ্যাক্টর চালু করুন (Wordfence বা WP 2FA-র ফ্রি ভার্সনেই যথেষ্ট), wp-config.php-এ DISALLOW_FILE_EDIT সেট করে ড্যাশবোর্ড থেকে কোড এডিটিং বন্ধ করুন, uploads ফোল্ডারে PHP এক্সিকিউশন সার্ভার লেভেলে বন্ধ করুন, আর প্রতিটা ক্লায়েন্ট সাইটকে আলাদা হোস্টিং ইউজারে সরান। এক ঘণ্টার কাজ, কিন্তু আক্রমণের ৯০ শতাংশ পথ এতেই বন্ধ হয়ে যায়।

খরচের হিসাবটা খোলাখুলি বলি

ম্যালওয়্যার সুরক্ষায় খরচ বেশি নয়, কিন্তু ভুল জায়গায় খরচ করার প্রবণতা বেশি। বাস্তব সংখ্যাগুলো এমন: Wordfence-এর ফ্রি ভার্সন ছোট সাইটের জন্য যথেষ্ট, প্রিমিয়াম বছরে প্রায় ১৪৯ ডলার। বেশিরভাগ বাংলাদেশি হোস্টিং প্যাকেজে ImunifyAV বা তার মতো স্ক্যানার এমনিতেই থাকে — অনেকে জানেনই না। উইন্ডোজ পিসির জন্য Microsoft Defender সত্যিই যথেষ্ট ভালো, আলাদা অ্যান্টিভাইরাস কেনার দরকার নেই; বরং সেই ৳১,৫০০ টাকা একটা বৈধ থিম লাইসেন্স বা ভালো অফসাইট ব্যাকআপে খরচ করুন।

মনে রাখবেন: ক্লিনআপ সার্ভিসের বাজারদর ৳৮,০০০ থেকে ৳২৫,০০০। আর UpdraftPlus দিয়ে গুগল ড্রাইভে অটো-ব্যাকআপ সেটআপ করতে লাগে বিশ মিনিট। অঙ্কটা কঠিন নয়।

ব্যাকআপ: শেষ ভরসা, প্রথম বিনিয়োগ

যে ব্যাকআপ একই সার্ভারে থাকে, সেটা ব্যাকআপ নয় — সংক্রমণ বা সাসপেনশনের সময় সেটাও হাতছাড়া হয়। নিয়মটা সহজ: অন্তত দুটো কপি, একটা অন্য জায়গায় (গুগল ড্রাইভ, ড্রপবক্স, বা অন্য সার্ভার), এবং মাসে অন্তত একবার রিস্টোর করে দেখা যে ব্যাকআপটা সত্যিই কাজ করে। যে ব্যাকআপ কখনও রিস্টোর করে দেখা হয়নি, সেটাকে ব্যাকআপ ধরে নেওয়া বিপজ্জনক আশাবাদ।

গুগলের লাল ওয়ার্নিং সরাবেন কীভাবে

সাইট পরিষ্কার হওয়ার পরও ব্রাউজারের সতর্কতা নিজে থেকে যায় না। গুগল সার্চ কনসোলে গিয়ে Security Issues সেকশনে “Request Review” দিতে হয়, এবং সাধারণত ৭২ ঘণ্টার মধ্যে সাড়া মেলে। সার্ভারের IP যদি স্প্যাম পাঠানোর কারণে ব্ল্যাকলিস্টে পড়ে থাকে, হোস্টিং প্রোভাইডারকে দিয়ে সেটা ডিলিস্ট করাতে হবে। এই ধাপটা বাদ দিলে সাইট ঠিক থাকলেও ভিজিটর ফিরবে না।

সচরাচর জিজ্ঞাসা

অ্যান্টিভাইরাস ইনস্টল থাকলে কি সাইট নিরাপদ? না। পিসির অ্যান্টিভাইরাস আপনার কম্পিউটার পাহারা দেয়, সার্ভারে বসা ওয়েবশেল নয়। দুটো সম্পূর্ণ আলাদা স্তর, দুটোই দরকার।

হোস্টিং কোম্পানি বলছে সমস্যা আমার সাইটে, আমি বলছি সার্ভারে — কে ঠিক? ৯৫ শতাংশ ক্ষেত্রে শেয়ার্ড হোস্টিংয়ে সংক্রমণ শুরু হয় অ্যাপ্লিকেশন লেভেল থেকে, অর্থাৎ আপনার থিম বা প্লাগইন থেকে। সার্ভার-লেভেল ব্রিচ বিরল।

সাইট ছোট, ভিজিটর দিনে ৫০ জন — কে হ্যাক করবে? কেউ আপনাকে বেছে নেয়নি। বটগুলো ভিজিটর গোনে না, দুর্বলতা খোঁজে। বরং ছোট সাইট বেশি সংক্রমিত হয়, কারণ সেখানে কেউ নজর রাখে না।

ক্লিনআপের পর আবার সংক্রমিত হলো কেন? হয় ব্যাকডোর একটা রয়ে গেছে, নয়তো চুরি যাওয়া পাসওয়ার্ড বদলানো হয়নি, নয়তো সেই একই নাল্ড প্লাগইন আবার ফিরিয়ে আনা হয়েছে।

দ্রুত চেকলিস্ট

• সব থিম-প্লাগইন বৈধ সোর্স থেকে, নাল্ড কিছু নেই
• অটো-আপডেট চালু, অন্তত মাসে একবার ম্যানুয়াল চেক
• অ্যাডমিনে টু-ফ্যাক্টর, প্রতিটা সাইটে আলাদা শক্ত পাসওয়ার্ড
• uploads ফোল্ডারে PHP বন্ধ, ড্যাশবোর্ড ফাইল-এডিটর বন্ধ
• অফসাইট অটো-ব্যাকআপ, মাসে একবার রিস্টোর টেস্ট
• এক হোস্টিং ইউজারে একটাই সাইট
• সার্চ কনসোল যুক্ত, যাতে সমস্যাটা গুগল আগে জানায়, ক্লায়েন্ট নয়

আপনার সাইট যদি এখনই সন্দেহজনক আচরণ করে, অথবা বছরখানেক ধরে আপডেট ছাড়াই চলছে — স্ট্যাক অ্যালিক্সের টিম ক্লিনআপ, হার্ডেনিং আর মাসিক মেইনটেন্যান্স তিনটাই করে। আগুন লাগার আগে ফায়ার এক্সটিংগুইশার কেনাটাই সস্তা, সেটা আমরা বহু ক্লায়েন্টের বিল দেখে শিখেছি।