Jak odstranit varování Google „Tento web byl hacknut“

Stručně: Abyste varování Google u hacknutého webu odstranili, musíte nejdřív uzavřít příčinu a odstranit veškerý škodlivý obsah. Teprve poté požádáte v Google Search Console o posouzení. Kdo žádá příliš brzy nebo smaže jen viditelné stopy, riskuje zamítnutí, protože zadní vrátka a skryté spamové stránky zpravidla přetrvávají.

Jaká varování Google zobrazuje a proč

Google varuje před kompromitovanými weby dvojím způsobem. Ve výsledcích vyhledávání se může pod vaším záznamem objevit upozornění, že web byl možná hacknut. U závažnějších nálezů, například škodlivého softwaru nebo phishingu, zobrazují prohlížeče přes Google Safe Browsing červenou varovnou stránku dřív, než se web vůbec načte.

Příčinou je téměř vždy obsah, který útočníci podstrčili: četné spamové stránky o lécích, hazardu nebo padělcích značkového zboží, přesměrování na cizí stránky, škodlivý kód pro návštěvníky nebo falešné přihlašovací stránky. Pro vaši firmu to znamená méně návštěvníků, znejistěné zákazníky a v e-shopu přímé ztráty tržeb.

Jaké problémy Google našel, je uvedeno v Google Search Console v části Zabezpečení a ruční akce, ve zprávě Problémy se zabezpečením. Často tam jsou uvedeny příklady URL, které dávají první vodítko.

Nejdřív vyčistit, pak požádat o posouzení

Pořadí je rozhodující. Varování Google je příznak; dokud je zranitelnost otevřená a zadní vrátka na místě, obsah se vrací, často hned po smazání.

Pro vyčištění má smysl web dočasně přepnout do režimu údržby nebo jej odpojit od sítě. Tak ochráníte návštěvníky, zatímco pracujete, a zabráníte útočníkovi nahrávat další obsah. Režim údržby by přitom měl vracet stavový kód 503, aby vyhledávače poznaly přerušení jako dočasné.

Odstranění varování Google u hacknutého webu: krok za krokem

1. Zajistit důkazy: Zálohovat logy, kopii souborů a databázi dřív, než cokoli smažete.
2. Zkontrolovat Search Console: Přečíst zprávu o problémech se zabezpečením, poznamenat si příklady URL a v části Nastavení, Uživatelé a oprávnění hledat neznámé vlastníky.
3. Uzavřít zranitelnost: Aktualizovat PHP, CMS, šablony a rozšíření, odstranit nepoužívaná rozšíření, po aktualizaci restartovat workery PHP.
4. Odstranit škodlivý kód: Jádrové soubory CMS nahradit z čistého zdroje, prohledat složky uploadů a cache na soubory PHP, zkontrolovat .htaccess a konfiguraci serveru na cizí přesměrování.
5. Vyčistit databázi: Odstranit spamové příspěvky, podstrčené skripty v obsahu a volbách i neznámé účty správců.
6. Obnovit přístupy: Změnit hesla pro CMS, hosting, databázi, FTP a SSH, znovu vygenerovat bezpečnostní klíče CMS.
7. Zkontrolovat výsledek: Příklady URL otestovat kontrolou URL a vlastní web zobrazit tak, jak jej vidí Google.
8. Požádat o posouzení: Ve zprávě o problémech se zabezpečením vyžádat posouzení a stručně popsat, co bylo nalezeno a opraveno.

Skryté stopy: spamové stránky, cloaking a cizí vlastníci

Mnoho hacků je postaveno tak, aby si jich provozovatelé nevšimli. Spamový obsah se objevuje jen pro Googlebota nebo pro návštěvníky přicházející z vyhledávání. Přihlášení správci vidí normální web. Kontrola URL v Search Console naproti tomu ukazuje načtení z pohledu Googlu.

Další vodítko je hledání pomocí site:ihredomain.de v kombinaci s typickými spamovými výrazy. Pokud se tam objeví stránky, které jste nikdy nezaložili, je to jasný příznak. Zkontrolujte také odeslané sitemapy: útočníci někdy zakládají vlastní sitemapy, aby své spamové stránky nechali indexovat rychleji.

Na serveru pomáhají jednoduché kontroly, které jen čtou, při hledání změněných souborů:

# Soubory PHP a HTML změněné za posledních 14 dní
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort

# Soubory PHP ve složkách uploadů (normálně by tam neměly být)
find /var/www/ihre-website -path '*uploads*' -name '*.php'

# Pravidla přesměrování v souborech .htaccess
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website

Pravidla, která přesměrovávají různě podle refereru nebo user agenta, jsou typickým znakem cloakingu. U WordPressu navíc cíleně postupujte podle pokynů v příručce Jak najít zadní vrátka ve WordPressu.

Co se děje po podání žádosti

Google web znovu zkontroluje a výsledek oznámí v Search Console. Pokud je žádost přijata, varování zmizí. Pokud je zamítnuta, uvede Google většinou další příklady URL. Pak cíleně hledejte zbývající obsah a znovu požádejte až po vyčištění.

Spamové URL, které Google už zná, by měly po vyčištění vracet stav 404 nebo 410, aby z indexu vypadly. Nepřesměrovávejte je plošně na úvodní stránku. V následujících týdnech Search Console dál sledujte, protože opětovné objevení spamu ukazuje na přehlédnutá zadní vrátka. Úplné následné kroky popisuje náš kontrolní seznam po hacku.

Aby se varování neopakovalo, mělo by být po vyčištění trvale zajištěno několik věcí:

• Aktualizace PHP, CMS, šablon a rozšíření se nasazují včas a někdo za to odpovídá.
• Nepoužívaná rozšíření, staré testovací instalace a zapomenuté podadresáře jsou odstraněny.
• Přístupy správců jsou osobní a chráněné druhým faktorem.
• Monitorování souborů hlásí nové soubory PHP ve složkách uploadů a cache.
• E-mailová upozornění ze Search Console dorazí na adresu, která se pravidelně čte.

Při delších výpadcích nebo dotčených údajích zákazníků také věcně informujte své zákazníky o stavu. Otevřená, klidná komunikace zpravidla chrání důvěru lépe než mlčení.

Jak konkrétně pomáhá PHP SOS?

• Nejdřív zajistíme stopy a objasníme, jakou zranitelností útočník vnikl.
• Soubory, databázi a konfiguraci serveru vyčistíme v rámci odstranění malwaru a uzavřeme příčinu.
• Web zkontrolujeme z pohledu Googlu, odstraníme cizí vlastníky Search Console a společně s vámi připravíme žádost o posouzení.
• Při akutním napadení převezme zadržení naše nouzová pomoc při hacknutých webech, dokud není incident uzavřen a zdokumentován.

Časté dotazy

Zdroje

• Nápověda Google Search Console
• BSI: pokyny pro provozovatele webů
• WordPress