Накратко: Ако във Вашата агенция са засегнати няколко клиентски сайта, това рядко е случайност, а обикновено общ сървър, споделен достъп или една и съща версия на PHP. Ако сте засегнати, свържете се с нас веднага. Осигуряваме Ви преглед, ограничаваме инцидента отдалечено, почистваме системите и Ви предоставяме доклади за Вашите клиенти.
Сега не трийте нищо и не инсталирайте наново. Дори натискът от клиентите да е голям: без запазени логове и файлове не могат нито да се изяснят причината, нито да се докаже какво не е било засегнато. Съобщете за спешен случай и ние поемаме от първото съобщение.
Засегнати ли сте? Признаци, когато клиентски сайтове са хакнати
Като агенция виждате модели, които единичните оператори никога не забелязват. На общ инцидент сочат:
- Няколко клиентски сайта показват по едно и също време едни и същи симптоми: пренасочвания, спам съдържание, предупреждения в браузъра.
- Един и същ непознат администраторски акаунт или един и същ подозрителен файл се появява при различни клиенти.
- Хостинг доставчикът съобщава за злоупотреба или необичайно натоварване за акаунт, на който има много проекти.
- Клиенти се обаждат, защото сайтът им е получил предупреждение в Google, а при насрещна проверка откривате още сайтове в същото състояние.
- Разработчик или бивш служител е имал достъп до много проекти и един достъп е изтекъл.
- Поддръжка през централен инструмент, например разгръщане на версии, резервни копия или услуга за актуализации, е променила сайт, който не сте пипали.
- Поддържате много сайтове на версии на PHP, за чието състояние на пача не можете да докажете за всеки поотделно.
Откакто има PHP2Shell, добавя се и това, че уязвимостта е в самия интерпретатор на PHP. Актуализация на CMS, например на WordPress, не я затваря; решаваща е средата за изпълнение на PHP, която реално обслужва сайта.
Какво да направите веднага
- Изброийте засегнатите сайтове: Домейн, сървър, хостинг акаунт, версия на PHP, CMS, отговорни лица. Към тях спадат и случаите на подозрение.
- Търсете общото: Същият сървър? Същите достъпи? Същият плъгин? Същият начин на разгръщане?
- Изолирайте застрашените сайтове: Сайтовете, които активно разпространяват зловреден код, пуснете в режим на поддръжка. Не трийте.
- Запазете логовете и състоянието: Помолете хостинг доставчика да запази протоколите; запазете и собствените си протоколи от разгръщането.
- Проверете централните достъпи: Кой има достъп до хостинг панела, SSH, Git, мениджъра на пароли и разгръщането? Промени едва след уточняване.
- Информирайте клиентите сдържано: Първо само онова, което е доказано. Не назовавайте причина, преди да е установена.
- Свържете се с нас: Обадете се или пишете по WhatsApp.
Как конкретно помага PHP SOS?
- Преглед на положението: Заедно с Вас получаваме преглед на всички сайтове и сървъри и ги подреждаме по спешност: активно разпространяван зловреден код, подозрение за изтичане на данни, вероятно само непачнато.
- Запазване и затваряне: Запазваме всяка засегната система, преди да е променено нещо, и затваряме общата входна врата: достъпи, състояние на PHP, рестартиране на всички процеси.
- Проверка и почистване: Търсим систематично във всички сайтове едни и същи следи, премахваме уеб шелове и задни вратички и възстановяваме чисто. Подробности в Премахване на зловреден софтуер и уеб шелове.
- Заздравяване и отчет: Отделяме сайтовете един от друг, където е разумно, и предоставяме за всеки клиент кратък доклад, който можете да предадете, както и общ доклад за Вас.
Работим отдалечено, без пътуване, в цяла Германия и Европа. При желание във фонов режим за Вашата агенция, както е описано на страницата Агенции и White Label.
Защо при агенциите често падат много сайтове едновременно
Който поддържа много проекти на един сървър, спестява разходи, но разменя изолацията за удобство. Ако всичко работи под един и същ потребител и в един и същ пул от PHP процеси, кодът на един хакнат сайт може да чете и променя файловете на съседите. Това не е екзотичен случай, а стандарт в много конфигурации. Как могат да се разделят чисто пуловете, описва Изолиране на PHP-FPM пулове.
Към това идват споделените достъпи: един SSH ключ за всички проекти, един хостинг акаунт с всички домейни, едни и същи пароли за staging и продукция. Тук важи принципът на минималните права. Повече по темата в Права на потребителя на уеб сървъра.
Важна е и веригата на доставки: плъгините, темите и библиотеките идват от трети лица, хостинг доставчикът отговаря за платформата, агенцията – за експлоатацията. Къде минават тези граници и къде възникват пропуски, разглежда Верига на доставки: агенция и хостинг доставчик.
Опис, версии на PHP и комуникация с клиентите
Най-честият проблем в такива ситуации е липсата на преглед: кой сайт на кой сървър с коя версия на PHP работи и кой е отговорен? Без този списък не може да се каже кой е засегнат от пача и кой не. Как да изградите такъв регистър, показва Опис на уебсайтове и сървъри. Ако паралелно работят няколко версии на PHP, допълнително помага Няколко версии на PHP на един сървър.
Пред клиентите значение има яснотата. Не е нужно да знаете всичко, но не бива да преувеличавате положителното: какво е доказано, какво още се проверява, какво ще направите после? Помощ за формулиране ще намерите в Информиране на клиентите след инцидент. Ако са засегнати лични данни, могат да играят роля задълженията за уведомяване по чл. 33 от ОРЗД. Това е обща информация; оценката принадлежи на длъжностните лица по защита на данните и на адвоката. Ако инцидентът излезе извън рамките на отделни сайтове, преминаваме към структурирано реагиране при инциденти (Incident Response).
Какво да ни изпратите
- списък на засегнатите и на вероятно засегнатите домейни
- данни за сървъра и хостинга за всеки проект, доколкото са известни
- версии на PHP и използвани CMS или магазини
- достъпите, които можете да ни предоставите, и ролите в екипа
- указания какво е било променено или разгръщано последно
- име на лицето за контакт за решения и за комуникацията с клиентите
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт за всички засегнати проекти, работим отдалечено и документираме за всяка система какво е намерено и направено. Не обещаваме чудеса. Каквото не може да се докаже, наричаме неизвестно, за да не казвате пред клиентите си повече от онова, което знаете.
Засегнати ли сте? Обадете се. Помагаме Ви.
Ако няколко от Вашите клиентски сайтове са подозрителни, натискът във времето е двоен: технически и в отношенията с клиентите. Свържете се с нас сега: обадете се или пишете по WhatsApp. Поемаме от първото съобщение и оставаме, докато инцидентът бъде приключен и документиран. Съобщете за спешен случай сега
Често задавани въпроси
Защо често са засегнати веднага няколко клиентски сайта?
Често сайтовете споделят един сървър, един хостинг акаунт, един и същ PHP процес или едни и същи данни за достъп. Ако атакуващ проникне на едно място, той може да се придвижи встрани. Уязвим PHP засяга освен това всички сайтове, които го ползват.
Да информирам ли клиентите веднага?
Зависи от положението и от договора. Първо изяснете кои сайтове са наистина засегнати, за да не информирате с предположения. При лични данни са възможни задължения за уведомяване; преценката принадлежи на длъжностното лице по защита на данните или на адвоката.
Кой носи отговорност, ако сайтът на клиент е хакнат?
Това зависи от Вашите договори, от обхвата на поддръжката и от хода на събитията. Не предоставяме правни консултации по това. Коректен доклад за причината и мерките помага при това изясняване.
Можете ли да работите под нашето име, без крайният клиент да ни вижда?
При желание работим във фонов режим за Вашата агенция и предоставяме доклади, които можете да предадете на клиентите си. Подробностите обсъждаме предварително.
Достатъчно ли е клиентските сайтове да се почистват поотделно?
Обикновено не. Ако причината е в общия сървър, в споделен достъп или в непачната версия на PHP, проблемите се появяват отново след отделното почистване. Причината трябва да се отстрани заедно с това.