กู้เว็บถูกแฮกด้วย CPGuard ขั้นตอนทำความสะอาด

สัญญาณที่บอกว่าเว็บถูกแฮก

ก่อนเริ่มกระบวนการกู้คืน ควรรู้จักสัญญาณที่บ่งบอกว่าเว็บไซต์ของคุณตกเป็นเหยื่อแฮกเกอร์ เพื่อจะได้รับมือได้ทันท่วงที

• Google แจ้งเตือน "This site may be hacked" — ปรากฏใต้ชื่อเว็บใน Search Results
• เว็บถูก redirect ไปหน้าอื่น — ผู้เยี่ยมชมถูกพาไปเว็บโฆษณาหรือเว็บฟิชชิง
• มีหน้าใหม่ที่ไม่ได้สร้าง — พบ URL แปลกๆ บน Google หรือใน sitemap
• อีเมลโดนบล็อก / ถูกแบล็กลิสต์ — Hosting ส่งอีเมลไม่ออกเพราะโดน spam block
• Hosting ระงับบัญชี — พบไฟล์ malicious จนโฮสต์ต้องระงับชั่วคราว
• โค้ด PHP แปลกใน header/footer — มีสคริปต์ obfuscate ที่ไม่คุ้นเคย
• CPGuard ส่ง Alert ทางอีเมล — ระบบตรวจจับมัลแวร์อัตโนมัติและแจ้งเตือนทันที

CPGuard คืออะไร ช่วยกู้เว็บได้อย่างไร

CPGuard เป็นระบบรักษาความปลอดภัยระดับ Server ที่ติดตั้งโดย Hosting Provider ทำงานอยู่เบื้องหลัง cPanel ตลอดเวลา ประกอบด้วยความสามารถหลัก ได้แก่

• Malware Scanner — สแกนทุกไฟล์ในบัญชีเปรียบเทียบกับฐานข้อมูลมัลแวร์ที่อัพเดทรายวัน
• Auto-Clean — ลบหรือกักกันไฟล์อันตรายอัตโนมัติ โดยไม่ต้องแก้ทีละบรรทัด
• Email Scan — ตรวจสอบอีเมลขาออกไม่ให้ส่ง spam หรือ phishing
• File Monitor — เฝ้าดูการเปลี่ยนแปลงไฟล์แบบ Real-time แจ้งเตือนทันทีหากพบความผิดปกติ
• Blacklist Check — ตรวจสอบว่า IP/Domain ถูกขึ้นแบล็กลิสต์ที่ไหนบ้าง และช่วย Submit ขอถอดออก

ผู้ใช้ asiagb.com จะเห็น CPGuard Dashboard ปรากฏใน cPanel ของตนทันทีหลังลงทะเบียน เพราะ asiagb เปิดใช้ CPGuard เป็น Default สำหรับทุก Shared Hosting Plan

ขั้นตอนกู้เว็บด้วย CPGuard (ภาพรวม)

สแกนและลบมัลแวร์ด้วย CPGuard

เริ่มต้นที่การสแกนเต็มรูปแบบเพื่อให้รู้ว่าเว็บของคุณมีไฟล์อันตรายอยู่ที่ไหนบ้าง

1. Login เข้า cPanel แล้วมองหา Section "Security" คลิก CPGuard
2. บน Dashboard คลิกปุ่ม "Start Scan" หรือ "Full Scan" — การสแกนครั้งแรกอาจใช้เวลา 5–20 นาทีขึ้นอยู่กับขนาดไฟล์
3. เมื่อสแกนเสร็จ ระบบแสดงรายการไฟล์ที่พบปัญหาแบ่งเป็น:
   • Malware — ไฟล์ที่เป็นอันตรายชัดเจน ต้องลบออก
   • Suspicious — ไฟล์ที่น่าสงสัย ควรตรวจสอบเพิ่มเติม
   • Modified — ไฟล์ Core ที่ถูกแก้ไขจากต้นฉบับ
4. คลิก "Clean All" เพื่อให้ CPGuard ทำความสะอาดอัตโนมัติ หรือเลือก "Quarantine" เพื่อกักกันไว้ตรวจก่อนลบ
5. สำหรับไฟล์ที่ Clean แล้วแต่ไม่แน่ใจ ให้คลิกดู Detail เพื่อดู Malware Signature ที่พบ

กู้คืนไฟล์ที่ถูกแก้ไข

หลังลบมัลแวร์แล้ว ไฟล์ที่ถูกแฮกเกอร์แก้ไขยังอาจมีโค้ดแปลกปลอมหลงเหลืออยู่ ต้องกู้คืนจาก Backup ที่สะอาด

วิธีกู้คืนผ่าน CPGuard Restore

1. ใน CPGuard Dashboard ไปที่แท็บ "Modified Files" ระบบแสดงไฟล์ WordPress Core ที่ถูกแก้ไข
2. เลือกไฟล์ที่ต้องการกู้คืน คลิก "Restore Original" — CPGuard จะดาวน์โหลดไฟล์ต้นฉบับจาก WordPress Repository มาแทน
3. สำหรับ Theme และ Plugin ให้ลบออกแล้ว Re-install ใหม่จาก WordPress.org เพื่อความปลอดภัยสูงสุด

วิธีกู้คืนจาก cPanel Backup

1. ใน cPanel ไปที่ Files > Backup Wizard
2. เลือก "Restore" แล้วเลือก "Home Directory" อัพโหลด Backup ไฟล์ที่มีวันที่ก่อนถูกแฮก
3. ถ้ามีแค่ Partial Backup สามารถ Restore เฉพาะ Database ได้โดยเลือก "MySQL Databases"

ป้องกันการแฮกซ้ำ

การทำความสะอาดอย่างเดียวไม่พอ ต้องปิดช่องโหว่ที่แฮกเกอร์ใช้เข้ามาด้วย ไม่งั้นกลับมาติดมัลแวร์อีกใน 24–48 ชั่วโมง

เปลี่ยน Password ทั้งหมดทันที

• cPanel Password — ไปที่ cPanel > Preferences > Password & Security
• FTP Accounts — cPanel > Files > FTP Accounts แล้วเปลี่ยน Password ทุก Account
• WordPress Admin — Dashboard > Users > Edit Profile > New Password
• Database Password — cPanel > Databases > MySQL Databases แล้ว Reset Password
• อีเมล Hosting — เปลี่ยน Password อีเมลทุก Account ที่เชื่อมกับเว็บ

อัพเดท WordPress และ Plugin ทั้งหมด

ช่องโหว่ที่ไม่ได้ patch คือประตูหลักที่แฮกเกอร์ใช้เข้ามา ไปที่ WordPress Dashboard > Updates แล้วอัพเดทให้ครบทุกรายการ ทั้ง Core, Plugins, และ Themes รวมถึงลบ Plugin/Theme ที่ไม่ได้ใช้ออกด้วย

ตั้งค่า CPGuard File Monitor

เปิดใช้งาน Real-time File Monitor ใน CPGuard เพื่อให้ระบบแจ้งเตือนทางอีเมลทันทีที่มีการแก้ไขไฟล์ PHP ผิดปกติ ช่วยให้จับมือแฮกเกอร์ได้เร็วขึ้นมาก

เปิดใช้ ModSecurity ใน cPanel

ไปที่ cPanel > Security > ModSecurity แล้ว Toggle เป็น On ModSecurity เป็น Web Application Firewall (WAF) ที่บล็อก Attack Pattern ทั่วไปอย่าง SQL Injection และ XSS ก่อนถึง WordPress

ตรวจสอบว่าเว็บสะอาดและปลอดภัยแล้ว

หลังทำความสะอาดเสร็จแล้ว ให้ตรวจสอบผ่านเครื่องมือออนไลน์และคำสั่งใน cPanel Terminal เพื่อยืนยันความปลอดภัยก่อน Submit ขอถอดออกจาก Blacklist

# ตรวจหาไฟล์ PHP ใน /uploads/ ที่ไม่ควรมี (Web Shell)
find public_html/wp-content/uploads -name "*.php" -type f

# ตรวจหาไฟล์ที่ถูกแก้ไขใน 7 วันล่าสุด
find public_html -name "*.php" -newer public_html/wp-config.php -mtime -7

# ค้นหาโค้ด eval/base64 ที่มักซ่อนมัลแวร์
grep -rl "eval(base64_decode" public_html/ --include="*.php"

# ตรวจสอบไฟล์ .htaccess ที่ถูกแก้ไข
grep -r "RewriteRule" public_html/.htaccess

แก้ปัญหาที่พบบ่อย

ในระหว่างกู้เว็บอาจพบ Error หลายอย่าง รวบรวม Error ที่พบบ่อยที่สุดและวิธีแก้ไว้ที่นี่

Error: "CPGuard scan failed - Permission denied"

เกิดเมื่อ CPGuard ไม่มีสิทธิ์อ่านไฟล์บางไฟล์ ให้ตรวจสอบ File Permission ใน cPanel File Manager ไฟล์ PHP ควรเป็น 644 และ Directory ควรเป็น 755 ถ้ามีไฟล์ที่ Permission เป็น 777 ให้เปลี่ยนทันที เพราะอาจเป็นจุดที่แฮกเกอร์ใช้เขียนมัลแวร์เพิ่ม

Error: "Restore failed - File is currently quarantined"

ไฟล์ที่ต้องการ Restore ถูก Quarantine ไว้โดย CPGuard ให้ไปที่ CPGuard > Quarantine แล้วดู Detail ของไฟล์นั้นก่อน ถ้ามั่นใจว่าปลอดภัยให้คลิก "Restore from Quarantine" แต่ถ้าเป็นไฟล์ที่น่าสงสัยให้ "Delete Permanently" แล้ว Re-install Plugin/Theme ใหม่แทน

Error: "Website still showing malware warning after cleaning"

Google Safe Browsing ยังแสดง Warning แม้ทำความสะอาดเสร็จแล้ว เพราะ Google Cache ยังไม่อัพเดท ให้ไปที่ Google Search Console > Security & Manual Actions > Security Issues คลิก "Request Review" อธิบายขั้นตอนที่ทำความสะอาด Google จะตรวจสอบและถอด Warning ภายใน 1–3 วันทำการ

Error: "WordPress login page redirects to spam site"

มัลแวร์ประเภทนี้มักอยู่ใน functions.php ของ Theme หรือในไฟล์ .htaccess ให้ตรวจสอบ .htaccess ที่ root และใน wp-admin/ ลบบรรทัด RewriteRule แปลกๆ ออก และ Restore functions.php จาก Theme สะอาด CPGuard ควรตรวจจับได้อยู่แล้วในขั้นตอน Modified Files

Error: "Emails being rejected - domain is blacklisted"

หลังกำจัดมัลแวร์ที่ส่ง Spam แล้ว ยังต้องขอถอด IP/Domain ออกจาก Blacklist ด้วย CPGuard มีแท็บ "Blacklist Check" ที่แสดงรายการ Blacklist ทั้งหมด คลิก "Request Removal" ที่แต่ละรายการ กระบวนการนี้ใช้เวลา 24–72 ชั่วโมงขึ้นอยู่กับ Blacklist Provider

คำถามที่พบบ่อย

Q: ถ้าไม่มี Backup จะกู้เว็บได้ไหม?

ได้ แต่ยากกว่า CPGuard สามารถ Restore ไฟล์ WordPress Core และ Plugin มาตรฐานได้จาก Repository โดยไม่ต้องมี Backup ส่วน Custom Theme หรือข้อมูลใน Database ถ้าไม่มี Backup อาจต้องสร้างใหม่ ดังนั้นควรตั้ง Automated Backup ผ่าน cPanel > JetBackup หรือ Backup Wizard อย่างน้อยทุกวัน

Q: CPGuard Auto-Clean ลบไฟล์ที่ดีของเราได้ไหม?

มีโอกาสน้อยแต่เกิดขึ้นได้ โดยเฉพาะถ้า Custom Code มีลักษณะคล้าย Malware Signature เช่น ใช้ eval() หรือ base64_decode() ในโค้ดจริงๆ ไฟล์ที่ Auto-Clean จะถูกย้ายไป Quarantine ก่อน ไม่ได้ลบทิ้งเลย ดังนั้นถ้าพบว่าฟีเจอร์ใดหาย ให้ไปตรวจ Quarantine แล้ว Restore ออกมาได้ทันที

Q: หลังกู้เว็บแล้วต้องทำอะไรเพิ่มบ้าง?

หลังกู้เว็บเสร็จควรทำดังนี้: (1) Submit sitemap.xml ใน Google Search Console ใหม่ (2) ตรวจสอบ Google Analytics ว่า Traffic กลับมาปกติ (3) ตั้ง CPGuard Scheduled Scan รายวัน (4) เปิด Two-Factor Authentication (2FA) สำหรับ WordPress Admin และ cPanel (5) Review User Accounts ทั้งหมดใน WordPress ลบ Account ที่ไม่รู้จักออก