# Σαρωτές κακόβουλου λογισμικού για ιστότοπους: τι βρίσκουν και τι όχι

> Σαρωτές malware για ιστότοπους: τι βρίσκουν οι εξωτερικοί, οι σαρωτές plugin και διακομιστή, ποια είναι τα όριά τους και γιατί το «τίποτα» δεν σημαίνει καθαρό.

Πηγή: https://phpsos.de/el/blog/grenzen-von-malware-scannern/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν ολίγοις:** Ένας σαρωτής κακόβουλου λογισμικού για ιστότοπους βρίσκει κυρίως γνωστά μοτίβα σε αρχεία ή στη σελίδα που σερβίρεται. Νέος και συγκαλυμμένος κώδικας, κερκόπορτες στη βάση δεδομένων, ξένοι λογαριασμοί, cronjobs και κλειδιά SSH παραμένουν συχνά αόρατα. Το «δεν βρέθηκε τίποτα» δεν σημαίνει γι' αυτό «καθαρό». Ένας έλεγχος γίνεται αξιόπιστος μόνο με τον συνδυασμό σαρωτή, σύγκρισης με το πρωτότυπο, ελέγχου βάσης δεδομένων και συστήματος και παρακολούθησης της συμπεριφοράς.

## Η απατηλή ηρεμία μετά το πράσινο σημάδι

Μετά το PHP2Shell πολλοί φορείς λειτουργίας έκαναν ό,τι είναι αυτονόητο: έτρεξαν έναν σαρωτή. Μια διαδικτυακή υπηρεσία ελέγχει την αρχική σελίδα, ένα plugin ασφαλείας σαρώνει τον φάκελο ιστού, το αποτέλεσμα είναι πράσινο. Έτσι φαίνεται να απαντήθηκε το ερώτημα αν συνέβη κάτι πριν από το patch.

Το πρόβλημα βρίσκεται στην αρχή λειτουργίας. Οι περισσότεροι σαρωτές συγκρίνουν περιεχόμενο με μοτίβα γνωστού κακόβουλου λογισμικού. Για τις ευπάθειες CVE-2026-109618 και CVE-2026-109619 δεν υπάρχουν όμως δημοσιευμένοι, επιβεβαιωμένοι Indicators of Compromise· ο εντοπισμός βασίζεται στην ανάλυση συμπεριφοράς. Ένας σαρωτής δεν μπορεί να αναζητήσει ίχνη που δεν γνωρίζει κανείς. Βρίσκει στην καλύτερη περίπτωση γενικό κακόβουλο λογισμικό που κατέβηκε μετά από μια εισβολή, εφόσον ακολουθεί γνωστά μοτίβα.

Αυτό δεν κάνει τους σαρωτές άχρηστους. Σημαίνει μόνο ότι το αποτέλεσμά τους πρέπει να αξιολογηθεί σωστά. Ποιες ενδείξεις μετράνε πέρα από τους σαρωτές, περιγράφει το [Έχω ήδη παραβιαστεί;](https://phpsos.de/el/php2shell/bin-ich-gehackt-anzeichen/).

## Σαρωτές κακόβουλου λογισμικού για ιστότοπους: τρία είδη

| Είδος | Τι βλέπει | Τι δεν βλέπει |
|---|---|---|
| Εξωτερικός σαρωτής (διαδικτυακή υπηρεσία) | σελίδες που σερβίρονται, ενσωματωμένα σενάρια, ανακατευθύνσεις, λίστες αποκλεισμού | αρχεία, βάση δεδομένων, λογαριασμούς, ό,τι σερβίρεται μόνο υπό όρους |
| Σαρωτής στο CMS (plugin ή επέκταση) | αρχεία στον φάκελο ιστού, εν μέρει περιεχόμενο βάσης δεδομένων, σύγκριση με βασικά αρχεία | επίπεδο συστήματος, cronjobs, SSH· εκτελείται στο ενδεχομένως παραβιασμένο σύστημα |
| Σαρωτής στον διακομιστή (βάσει υπογραφών) | όλα τα αναγνώσιμα αρχεία, και εκτός του φακέλου ιστού | άγνωστα και συγκαλυμμένα μοτίβα, βάση δεδομένων, λογαριασμούς, συμπεριφορά |

Οι εξωτερικοί σαρωτές είναι χρήσιμοι για να αναγνωρίζονται ορατές συνέπειες, όπως ανακατευθύνσεις ή εγγραφές σε λίστες αποκλεισμού. Πολλές παραβιάσεις όμως σερβίρουν το περιεχόμενο spam ή ανακατεύθυνσης μόνο σε ορισμένους επισκέπτες, για παράδειγμα σε μηχανές αναζήτησης ή κινητές συσκευές. Ο σαρωτής βλέπει τότε μια καθαρή σελίδα.

Οι σαρωτές στο CMS έχουν μεγαλύτερη εικόνα, αλλά ένα θεμελιώδες πρόβλημα: εκτελούνται στο ίδιο σύστημα που πρέπει να ελέγξουν. Κώδικας με επαρκή δικαιώματα μπορεί να επηρεάσει τα αποτελέσματά τους, να αποκρύψει αρχεία ή να απενεργοποιήσει τον σαρωτή. Οι σαρωτές διακομιστή εργάζονται εκτός της εφαρμογής, εξαρτώνται όμως από μοτίβα.

## Τι ξεφεύγει καταρχήν από τους σαρωτές

Ανεξάρτητα από το είδος, υπάρχουν περιοχές που ένας σαρωτής αρχείων ή σελίδων δύσκολα μπορεί να καλύψει:

1. **Νέος ή ατομικά συγκαλυμμένος κώδικας:** Κάθε παραλλαγή που φαίνεται διαφορετική από τα γνωστά μοτίβα περνά απαρατήρητη.
2. **Η βάση δεδομένων:** σενάρια σε περιεχόμενο, αλλαγμένες ρυθμίσεις, triggers και ξένοι λογαριασμοί. Περισσότερα στο [Έλεγχος της βάσης δεδομένων για κώδικα που έχει εισαχθεί](https://phpsos.de/el/blog/datenbank-auf-schadcode-pruefen/).
3. **Προσβάσεις:** πρόσθετοι λογαριασμοί διαχειριστή, κλειδιά SSH, χρήστες βάσης δεδομένων, λογαριασμοί στον πίνακα ελέγχου φιλοξενίας.
4. **Υπηρεσίες συστήματος και cronjobs:** μηχανισμοί που κατεβάζουν τακτικά κακόβουλο κώδικα.
5. **Διακριτικές αλλαγές σε θεμιτά αρχεία:** μία μόνο επιπλέον γραμμή σε ένα βασικό αρχείο, που φαίνεται αθώα.
6. **Δεδομένα που διέρρευσαν:** Το αν αντιγράφηκαν διαπιστευτήρια ή δεδομένα πελατών δεν το δείχνει κανένας σαρωτής.

## Τι δημιουργεί αντίθετα βεβαιότητα

Περισσότερη ασφάλεια φέρνει ο συνδυασμός ειδών ελέγχου που λειτουργούν διαφορετικά:

- **Σύγκριση με το πρωτότυπο:** Εντοπίζει κάθε αλλαγή σε γνωστά αρχεία, ανεξάρτητα από μοτίβα. Τη διαδικασία περιγράφει το [Σύγκριση των βασικών αρχείων του CMS με το πρωτότυπο](https://phpsos.de/el/blog/cms-kerndateien-vergleichen/).
- **Στοχευμένη αναζήτηση ανωμαλιών:** αρχεία PHP σε φακέλους upload, πρόσφατα τροποποιημένα αρχεία, συγκαλυμμένος κώδικας, εκτελέσιμα αρχεία σε προσωρινούς φακέλους.
- **Έλεγχος λογαριασμών και υπηρεσιών συστήματος:** σύγκριση χρηστών, κλειδιών, cronjobs και υπηρεσιών με το γνωστό αναμενόμενο.
- **Αξιολόγηση logs:** αιτήματα σε άγνωστα αρχεία, συσσωρεύσεις σφαλμάτων, ασυνήθιστες συνδέσεις.
- **Παρακολούθηση συμπεριφοράς:** διεργασίες του διακομιστή ιστού που ξεκινούν shell, απροσδόκητες εξερχόμενες συνδέσεις, νέα αρχεία σε ευαίσθητους φακέλους.

Η τελευταία κατηγορία είναι η σημαντικότερη όταν δεν υπάρχουν γνωστά ίχνη. Δεν ρωτά πώς μοιάζει ο κακόβουλος κώδικας, αλλά τι κάνει. Μια διεργασία διακομιστή ιστού που ξαφνικά ξεκινά ένα shell γίνεται αντιληπτή, ανεξάρτητα από το πώς είναι συγκαλυμμένος ο κώδικας που την προκάλεσε.

> **Συμβουλή:**
> Εκτελέστε έναν σαρωτή διακομιστή από ένα καθαρό σύστημα, πάνω σε αντίγραφο μόνο για ανάγνωση, αντί για τον ύποπτο διακομιστή. Έτσι ο κώδικας που έχει εισαχθεί δεν μπορεί να επηρεάσει το αποτέλεσμα.

## Πώς χρησιμοποιείτε σωστά τους σαρωτές

Οι σαρωτές έχουν τη θέση τους, ως ένα εργαλείο ανάμεσα σε πολλά. Ένας εξωτερικός σαρωτής ταιριάζει ως τακτικός έλεγχος των ορατών συνεπειών, για παράδειγμα εβδομαδιαία. Ένας σαρωτής στο CMS αναφέρει στην καθημερινότητα γνωστό κακόβουλο λογισμικό και τροποποιημένα βασικά αρχεία. Ένας σαρωτής διακομιστή συμπληρώνει την αναζήτηση γνωστών μοτίβων σε ολόκληρο το σύστημα αρχείων.

Αποφασιστικός είναι ο χειρισμός του αποτελέσματος. Ένα εύρημα είναι σαφής εργασία ελέγχου και δικαιολογεί πλήρη διερεύνηση, επειδή σπάνια επηρεάζεται μόνο ένα αρχείο. Ένα κενό αποτέλεσμα είναι αντίθετα μόνο δήλωση για τα μοτίβα που ελέγχθηκαν. Καταγράψτε στην τεκμηρίωσή σας ποιος σαρωτής έτρεξε πότε και με ποια έκδοση, και μη γράφετε «σύστημα καθαρό», αλλά «δεν βρέθηκαν γνωστά μοτίβα».

Για τη διοίκηση αυτό σημαίνει: ένα πράσινο σημάδι δεν αντικαθιστά τον έλεγχο από κάποιον που εξετάζει μαζί αρχεία, βάση δεδομένων, λογαριασμούς και συμπεριφορά. Μετά από ένα περιστατικό με πιθανή εκτέλεση κώδικα, όπως είναι δυνατό στο PHP2Shell, αυτός ο έλεγχος πρέπει να πραγματοποιηθεί.

Αν αντίθετα ένας σαρωτής αναφέρει εύρημα, απαιτείται γρήγορη αλλά οργανωμένη δράση. Μη διαγράψετε αμέσως το αρχείο που αναφέρθηκε μέσω της λειτουργίας του σαρωτή. Διασφαλίστε πρώτα το αρχείο και τα logs, ώστε να διευκρινιστεί πώς έφτασε στον διακομιστή. Πώς εξελίσσεται ένας πλήρης καθαρισμός, περιγράφει η υπηρεσία [Αφαίρεση κακόβουλου λογισμικού και webshells](https://phpsos.de/el/leistungen/malware-entfernung/).

## Πώς βοηθά συγκεκριμένα η PHP SOS;

- Συνδυάζουμε σαρωτές με σύγκριση έναντι του πρωτοτύπου, στοχευμένη αναζήτηση και αξιολόγηση λογαριασμών, υπηρεσιών και logs.
- Ελέγχουμε ύποπτα συστήματα μέσω διασφαλισμένων αντιγράφων, ώστε τα αποτελέσματα να μην επηρεάζονται από το παραβιασμένο σύστημα.
- Χαρακτηρίζουμε κάθε αποτέλεσμα με ειλικρίνεια ως τεκμηριωμένο, πιθανό ή άγνωστο.
- Με την [παρακολούθηση ασφαλείας για διακομιστές ιστού](https://phpsos.de/el/leistungen/security-monitoring/) επιτηρούμε μόνιμα τη συμπεριφορά των διακομιστών σας και όχι μόνο γνωστά μοτίβα.


## Συχνές ερωτήσεις

**Είναι καθαρός ο ιστότοπός μου αν ο σαρωτής malware δεν βρίσκει τίποτα;**  
Όχι απαραίτητα. Οι σαρωτές βρίσκουν κυρίως γνωστά μοτίβα. Νέος ή καλά συγκαλυμμένος κώδικας, κερκόπορτες στη βάση δεδομένων, ξένοι λογαριασμοί, cronjobs και κλειδιά SSH μένουν συχνά απαρατήρητα. Ένα κενό αποτέλεσμα είναι δομικό στοιχείο και όχι αθώωση.

**Ποια είναι η διαφορά ανάμεσα σε εξωτερικό σαρωτή και σε σαρωτή plugin;**  
Ένας εξωτερικός σαρωτής καλεί τον ιστότοπο απ' έξω και βλέπει μόνο ό,τι σερβίρεται. Ένας σαρωτής plugin εκτελείται μέσα στο CMS και μπορεί να διαβάζει αρχεία, αλλά εκτελείται στο ίδιο σύστημα που μπορεί να έχει παραβιαστεί. Και οι δύο έχουν δικά τους τυφλά σημεία.

**Υπάρχουν υπογραφές σαρωτών για το PHP2Shell;**  
Για το PHP2Shell δεν υπάρχουν δημοσιευμένοι, επιβεβαιωμένοι Indicators of Compromise. Οι σαρωτές δεν μπορούν επομένως να αναζητήσουν στοχευμένα βεβαιωμένα ίχνη του PHP2Shell. Ο εντοπισμός βασίζεται στην ανάλυση συμπεριφοράς και στην αναζήτηση γενικών ενδείξεων παραβίασης.

**Ποιος σαρωτής είναι ο καλύτερος;**  
Το ερώτημα παραπλανά. Σημαντικότερος από ένα συγκεκριμένο προϊόν είναι ο συνδυασμός διαφορετικών ειδών ελέγχου: σύγκριση με το πρωτότυπο, αναζήτηση σε αρχεία και βάση δεδομένων, έλεγχος λογαριασμών και υπηρεσιών συστήματος καθώς και παρακολούθηση της συμπεριφοράς.

## Πηγές

- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας): υποδείξεις για περιστατικά ασφάλειας IT](https://www.bsi.bund.de/)
- [php.net: ανακοινώσεις ασφαλείας](https://www.php.net/)