Stručně: Pokud váš hosting web zablokoval, je to většinou upozornění na škodlivý kód nebo zneužití, může však jít také o opatrnost. Odblokuje se zpravidla až tehdy, když je příčina odstraněna. Týká se to vás? Ozvěte se ihned. Na dálku ujasníme situaci, vyčistíme účet a domluvíme odblokování s vaším hostingem.
Nyní nic nemažte a nic znovu nenasazujte. Ani na pokyn hostingu. Stopy, logy a soubory musí zůstat zachovány, dokud není vše zajištěno. Zavolejte nebo napište přes WhatsApp, nebo použijte Nahlásit nouzi.
Byl váš web zablokován?
Blokace se projevuje velmi různě:
- stránka není dostupná nebo zobrazuje informační stránku hostingu
- e-mail nebo ticket uvádí „malware“, „abuse“, „phishing“ nebo „spam“
- hostingový panel je zablokován, FTP a pošta nefungují
- vypnuty jsou jen jednotlivé funkce, například spouštění PHP nebo odesílání pošty
- web běží, ale hosting požaduje opatření v určité lhůtě
Přečtěte si oznámení pozorně: často jsou v něm názvy souborů, časy nebo hlášení, které jsou pro analýzu důležité. Kdo byl odpojen preventivně, to většinou pozná podle toho, že hosting neuvádí žádný konkrétní soubor. I zde platí kontrola, protože samotné odpojení neprokazuje ani napadení, ani jeho nepřítomnost.
Co udělat hned
- Zajistit oznámení hostingu: uschovat e-mail, ticket a snímek obrazovky s datem. Jaká lhůta byla uvedena?
- Nečistit na vlastní pěst. Kdo maže nebo znovu nahrává soubory, může zničit stopy a riskuje další blokaci.
- Zdvořile požádat hosting o toto: uvést místa nálezu, uchovat logy za dané období, zachovat přístup pro čtení nebo exportem zálohy. Vzor žádosti najdete v článku Jak se zeptat hostingu na stav záplat.
- Zkontrolovat odesílání pošty: pokud ze serveru vycházel spam, blokace jinak zůstanou. Vodítka k příčině dává článek Server rozesílá spam.
- Poznamenat přístupy: panel, FTP, SSH, databáze, backend CMS. Hesla měnit až po dohodě.
- Ujasnit obchodní následky: je dostupnost webu nebo e-mailu pro vaše podnikání kritická? Pak nám to hned řekněte.
- Ozvat se nám, než necháte uplynout lhůty nebo změníte hosting.
Jak PHP SOS konkrétně pomáhá?
- Zmapování situace: Přečteme oznámení hostingu, ujasníme účet, rozsah a systémy a probereme, které funkce jsou ještě dostupné.
- Zajištění a zadržení: Pokud hosting umožní přístup, zajistíme soubory, databázi a logy a odpojíme přístupy, kterým už nelze důvěřovat.
- Kontrola a vyčištění: Hledáme webshelly, manipulované soubory, cizí účty a mechanismy, které dohrávají škodlivý kód. Postup odpovídá službě Odstranění malwaru a webshellů.
- Uzavřít vstup a doložit: Ujasníme, jak se útočník dostal dovnitř, a zranitelnost uzavřeme. Poté vypracujeme srozumitelný popis, který můžete předat hostingu pro odblokování.
- Domluva a hardening: Pokud to dovolíte, mluvíme s vaším hostingem, provázíme odblokování a dáváme doporučení pro trvalý provoz.
Jak řešíme obecný incident, popisuje stránka Web napaden: nouzová pomoc.
Kdo je u zablokovaných webů odpovědný?
Na sdíleném hostingu kontroluje server a PHP hosting, vy kontrolujete své soubory a aplikace. To, že hosting reaguje na PHP2Shell, neznamená, že je váš web čistý. A naopak to hosting nezbavuje jeho vlastních povinností. Rozdělení popisuje stránka Sdílený hosting: co dělá hosting a co musíte udělat vy. Po blokaci se vyplatí zeptat se, jaká verze PHP skutečně běží a zda je stav záplat potvrzen. Nevyjadřujeme se k tomu, jak daleko určitý hosting záplatoval. To musí potvrdit písemně on sám.
Změna hostingu může být rozumná, ale až po vyčištění a ne jako únik, viz Změna hostingu po incidentu. Pokud web označil i Google, popisuje cestu poté stránka Odstranění varování Googlu. Že organizace preventivně odpojují své weby od sítě, je známý vzorec; co se z toho mohou firmy naučit, najdete v článku Úřady odpojují weby od sítě.
Co hostingy pro odblokování většinou chtějí vidět
Každý hosting to řeší jinak, ale očekávání se podobají: máte ukázat, že jste pochopili a odstranili příčinu, nikoli jen příznak. Obvyklý je krátký popis nálezů, potvrzení, že byl škodlivý kód odstraněn a přístupové údaje změněny, a upozornění, jaký software byl aktualizován. Někteří poskytovatelé účet poté zkontrolují sami, jiní požadují další ticket. Tyto podklady připravíme tak, abyste je mohli předat i bez odborných znalostí. Jaké sliby váš hosting dává a jak rychle reaguje, rozhoduje on sám; nemáme na to vliv a říkáme to otevřeně.
Co nám poslat
- oznámení hostingu v původním znění, s datem a uvedenou lhůtou
- název hostingu, tarif a, pokud je známa, verzi PHP
- adresu webu a další weby ve stejném účtu
- které funkce jsou zablokovány (web, pošta, panel, FTP)
- kontakt na agenturu nebo vývojáře, pokud existuje
Proč PHP SOS
Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Máte jeden kontaktní bod, který váš případ provází a je k dispozici pro dotazy vašeho hostingu. Pracujeme na dálku, bez cestování, v celém Německu i v Evropě. Vše se dokumentuje, sliby o délce nedáváme, protože závisejí na hostingu a nálezu. Pracujeme, dokud není incident uzavřen a zdokumentován.
Týká se to vás? Zavolejte nám. Pomůžeme.
Blokace je nepříjemná, ale je jasným důvodem jednat. Ozvěte se hned, telefonem nebo přes WhatsApp, a my přebíráme situaci od první zprávy. Nahlásit nouzi hned
Časté dotazy
Proč můj hosting zablokoval můj web?
Obvyklé jsou škodlivý kód na účtu, rozesílání spamu, neobvykle vysoká zátěž nebo útoky vycházející z vašeho serveru. Hosting tak chrání své ostatní zákazníky. Upozornění na blokaci bývá v oznámení nebo v zákaznické zóně.
Znamená blokace, že byl můj web skutečně napaden?
Ne v každém případě. Někteří poskytovatelé v souvislosti s PHP2Shell weby také preventivně odpojili. Co skutečně nastalo, ukáže teprve kontrola. Samotné oznámení o blokaci je prvním, ale ne úplným vodítkem.
Mohu hosting požádat, aby blokaci jednoduše zrušil?
Lze to zkusit, ale pokud nebylo nic vyčištěno, většinou to nepořídí. Mnoho hostingových firem požaduje vysvětlení nebo doklad o vyčištění. Pokud se odblokuje bez odstranění příčiny, hrozí další blokace.
Mám přejít k jinému hostingu?
Ne ukvapeně. Stěhování vezme škodlivý kód s sebou, pokud se přestěhuje také, a zničí stopy. Nejdřív vyčistit a ujasnit příčinu, teprve potom rozhodovat o hostingu.
Jak dlouho trvá, než bude můj web zase online?
Záleží na rozsahu napadení, stavu logů a reakci hostingu, proto neuvádíme lhůty. Po prvním zhodnocení vám řekneme, co je třeba udělat a které kroky závisejí na hostingu.