Накратко: Засегнати ли сте? Обадете се. Помагаме Ви. Ако подозирате, че сървърът Ви е хакнат, първо е важно едно: да запазите следите. Поемаме отдалечено, от първото съобщение, картината на положението, запазването, ограничаването, почистването и документацията, докато инцидентът бъде приключен.
Сега не трийте нищо и не инсталирайте наново. Не възстановявайте и резервно копие, преди да е направено запазване. Който разчиства, унищожава точно следите, които показват как е влязъл атакуващият. Съобщете за спешен случай и ще действаме заедно.
Засегнати ли сте? Признаци, че един сървър е хакнат
Подозрението е достатъчно, за да се свържете с нас. Не е нужно да доказвате атаката. Типични указания са:
- Уеб сървърът или PHP-FPM стартира процеси като
shилиbash. Това е силен предупредителен сигнал, който обясняваме на страницата Уеб сървърът стартира шел. - В папки за качване, кеш или временни файлове има нови или непознати PHP файлове.
- Има cron задачи, които никой не е създавал, или SSH ключове, които никой не може да отнесе към себе си.
- Натоварването е високо без видима причина или сървърът установява необичайни изходящи връзки.
- Имейлите от Вашия сървър попадат в спама или се отхвърлят.
- Хостинг доставчикът, клиент или предупреждение в браузъра съобщава за зловреден код.
- В CMS се появяват администраторски акаунти, които никой не е създавал.
Допълнителни признаци ще намерите в Компрометиран ли съм вече?. Ако се потвърждават няколко точки, третирайте сървъра като хакнат, докато не се докаже обратното.
Хакнат сървър: какво да направите веднага
- Запазете спокойствие и не променяйте нищо. Не изтривайте файлове, не правете „бързи поправки“, не инсталирайте наново върху старото състояние.
- Запишете момента. Отбележете какво сте наблюдавали и кога, и кой последен е правил промени по системата.
- Запазете логовете. Протоколите за достъп, грешки и системата не бива да се ротират или презаписват. При PHP2Shell специализираната преса съветва сървърните логове от 20.10.2026 г. нататък да се запазват.
- Намалете повърхността за атака. Изключете сървъра от публичната мрежа или го блокирайте с файъруол, ако е възможно да изтичат данни. Не го изключвайте просто така.
- Съберете достъпите. Кой има достъп по SSH, до панела, FTP, CMS и базата данни? Сменяйте паролите едва след уточняване и само от чисто устройство.
- Определете лице за контакт. Трябва да има достъпно лице с право на решение, включително за изключване и рестартиране.
- Свържете се с нас сега. Обадете се или пишете по WhatsApp. Всичко останало изясняваме с Вас стъпка по стъпка.
Изключване от мрежата или оставяне да работи?
Това е най-честият въпрос в първите минути и няма общ отговор. Ако работи онлайн магазин с плащания или портал с данни на клиенти, обикновено защитата на данните тежи повече. Тогава временното изолиране е правилно, например чрез страница за поддръжка или правило във файъруола, което допуска само Вашите администратори.
Принудителното изключване обаче рядко е най-добрата първа стъпка, защото в оперативната памет има следи, които рестартирането изтрива. По-добре е да се направи образ на системата, например снимка (snapshot) при хостинг доставчика, преди да е променено каквото и да било. При положението с PHP2Shell BSI препоръчва уеб сървърите да се изключат временно от мрежата, ако актуализацията не е възможна веднага. Това не означава, че всеки изключен сървър е хакнат.
Дали във Вашия случай да изолирате, да ограничите или да оставите да работи, решаваме заедно с Вас въз основа на това, което има на системата.
Ново изграждане или почистване?
Мнозина най-много искат веднага да изградят сървъра наново. Това не е грешно, но едва след запазването. Иначе остава неясно как е влязъл атакуващият и същият път стои отворен и за новата система. Преценката описва страницата Нова инсталация на сървър или почистване?, а запазването преди ново изграждане – страницата Запазете доказателствата, преди да инсталирате наново.
Важно: актуализацията на PHP сама не решава проблема. Тя затваря уязвимостта, но не премахва вече внедрен зловреден софтуер. Как да намерите следите в протоколите, е описано в Анализ на логовете на уеб сървъра след атака. И изхождайте от това, че данни за достъп от конфигурационни файлове са били прочетени: достъпите до базата данни, пощата и API трябва да влязат в списъка на тайните, които подлежат на подмяна.
Как конкретно помага PHP SOS?
- Преглед на положението: Изясняваме с Вас какво е наблюдавано, кои системи може да са засегнати и какви данни има на тях.
- Запазване и затваряне: Запазваме файловете, базата данни и логовете, преди да е променено нещо. След това ограничаваме атаката и затваряме входната врата, при PHP2Shell с пач и рестартиране на всички PHP процеси.
- Проверка и почистване: Търсим уеб шелове, задни вратички, cron задачи и чужди достъпи и ги премахваме. Подробности има в Премахване на зловреден софтуер и уеб шелове.
- Заздравяване и отчет: Получавате документация с времева линия, места на находките и препоръки. Ако инцидентът излиза извън рамките на един сървър, преминаваме към структурирано реагиране при инциденти (Incident Response).
Какво не бива да правите
В стреса се случват избегними грешки. Не изтривайте „подозрителни“ файлове само по подозрение, без преди това да сте ги запазили. Не изпълнявайте команди от форуми, които не разбирате. И не инсталирайте плъгини за сигурност на сървър, който евентуално вече е компрометиран: зловредният код може да заблуди скенерите, а резултатът Ви приспива с фалшива сигурност. Внимание и при съвети да се блокират всички заявки с определен идентификатор на сесия; специализирани автори изрично отхвърлят такива съвети за PHP2Shell. Собствената си версия можете да проверите сигурно с php -v и поглед в changelog на пакета във Вашата дистрибуция, защото backport корекциите често оставят номера на версията същия.
Какво да ни изпратите
- кратко описание: какво е направило впечатление, от кога, какво е било променено последно
- вид на системата: собствен сървър, vServer, управляван сървър (managed) или хостинг пакет
- достъп по SSH или през панела, или разрешение да разговаряме с Вашия хостинг доставчик
- указания за налични резервни копия и тяхната възраст
- предупредителни съобщения от хостинг доставчика, браузъра или клиенти дословно
Ако нещо от това липсва, пак се свържете с нас. Пропуските запълваме в разговор.
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт, работим отдалечено, без пътуване, в цяла Германия и Европа. Всяка стъпка се документира и открито разграничаваме доказаното, вероятното и неизвестното. Обещания, които никой не може да изпълни, не даваме. Преглед на последващата работа има в Контролния списък след хакерска атака, а цялата спешна помощ – в Хакнат уебсайт? Спешна помощ отдалечено. За задължението за уведомяване при пробиви в данните прочетете правилото за 72 часа; правната оценка остава за длъжностните лица по защита на данните и адвокатите.
Засегнати ли сте? Обадете се. Помагаме Ви.
Не чакайте подозрението да прерасне в по-голяма щета. Поемаме от първото съобщение и оставаме, докато инцидентът бъде приключен и документиран. Съобщете за спешен случай сега.
Често задавани въпроси
Хакнат сървър: да го изключа ли веднага?
Не прибързано. Изключването може да унищожи нетрайни следи в оперативната памет. По-добре е сървърът да се отдели от мрежата или да се изолира с файъруол и първо да се запази. Ако не сте сигурни, свържете се с нас предварително.
Как да разбера дали сървърът ми наистина е хакнат?
Указания дават процеси, които стартира уеб сървърът, нови PHP файлове в папки за качване или кеш, непознати cron задачи и SSH ключове, както и необичайни изходящи връзки. Сигурност дава едва анализът на логовете и файловете. Няма потвърдени индикатори за PHP2Shell, откриването се основава на анализ на поведението.
Достатъчна ли е актуализация на PHP, ако сървърът вече е хакнат?
Не. Пачът затваря входната врата, но не премахва вече внедрен зловреден софтуер и не доказва, че преди това нищо не се е случило. След актуализацията трябва да се рестартират и всички PHP процеси.
Трябва ли да съобщя за хакнат сървър?
Ако е възможно да са засегнати лични данни, може да се наложи уведомяване на надзорния орган в рамките на 72 часа. Оценката правят Вашето длъжностно лице по защита на данните или Вашият адвокат; ние предоставяме техническите факти за това.
Мога ли сам да почистя хакнатия сървър?
При малки системи е възможно, но рисковано: който премахва само видимите файлове, често пропуска задни вратички, cron задачи или достъпи. Ние проверяваме дали почистването е достатъчно, или е по-разумно ново изграждане от чисти източници.