Παραβιασμένος διακομιστής – τι να κάνετε; Πρώτα βήματα και άμεση βοήθεια

Εν συντομία: Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε. Αν υποψιάζεστε ότι ο διακομιστής σας παραβιάστηκε, μετρά πρώτα ένα πράγμα: η διατήρηση των ιχνών. Αναλαμβάνουμε εξ αποστάσεως, από το πρώτο μήνυμα, την εικόνα της κατάστασης, τη διάσωση των στοιχείων, τον περιορισμό της ζημιάς, τον καθαρισμό και την τεκμηρίωση, μέχρι να κλείσει το περιστατικό.

Επηρεάζεστε; Ενδείξεις ότι ένας διακομιστής παραβιάστηκε

Μια υποψία αρκεί για να επικοινωνήσετε. Δεν χρειάζεται να αποδείξετε την επίθεση. Τυπικές ενδείξεις είναι:

• Ο διακομιστής ιστού ή το PHP-FPM ξεκινά διεργασίες όπως sh ή bash. Πρόκειται για ισχυρό προειδοποιητικό σημάδι, το οποίο εξηγούμε στη σελίδα Ο διακομιστής ιστού ξεκινά ένα shell.
• Σε φακέλους upload, cache ή temp υπάρχουν νέα ή άγνωστα αρχεία PHP.
• Υπάρχουν cronjobs που δεν δημιούργησε κανείς ή κλειδιά SSH που κανείς δεν μπορεί να αντιστοιχίσει.
• Το φορτίο είναι υψηλό χωρίς εμφανή λόγο ή ο διακομιστής δημιουργεί ασυνήθιστες εξερχόμενες συνδέσεις.
• Τα email του διακομιστή σας καταλήγουν στο spam ή απορρίπτονται.
• Ο πάροχος φιλοξενίας, ένας πελάτης ή μια προειδοποίηση του προγράμματος περιήγησης αναφέρει κακόβουλο κώδικα.
• Στο CMS εμφανίζονται λογαριασμοί διαχειριστή που δεν δημιούργησε κανείς.

Περισσότερες ενδείξεις θα βρείτε στο Έχω ήδη παραβιαστεί;. Αν ισχύουν περισσότερα σημεία, αντιμετωπίστε τον διακομιστή ως παραβιασμένο, μέχρι να αποδειχθεί το αντίθετο.

Παραβιασμένος διακομιστής: τι κάνετε αμέσως τώρα

1. Διατηρήστε την ψυχραιμία και μην αλλάξετε τίποτα. Μη διαγράψετε αρχεία, μην κάνετε «γρήγορες επισκευές», μην κάνετε νέα εγκατάσταση πάνω στην παλιά κατάσταση.
2. Καταγράψτε τη χρονική στιγμή. Σημειώστε τι παρατηρήσατε και πότε, και ποιος έκανε τελευταίος αλλαγές στο σύστημα.
3. Διατηρήστε τα logs. Τα αρχεία καταγραφής πρόσβασης, σφαλμάτων και συστήματος δεν πρέπει να περιστρέφονται ούτε να αντικαθίστανται. Στο PHP2Shell ο εξειδικευμένος Τύπος συνιστά τη διατήρηση των logs του διακομιστή από τις 20.10.2026.
4. Μειώστε την επιφάνεια επίθεσης. Αποσυνδέστε τον διακομιστή από το δημόσιο δίκτυο ή αποκλείστε τον με τείχος προστασίας, αν μπορεί να διαρρέουν δεδομένα. Μην τον απενεργοποιήσετε απλώς.
5. Συγκεντρώστε τις προσβάσεις. Ποιος έχει πρόσβαση SSH, πίνακα ελέγχου, FTP, CMS και βάσης δεδομένων; Τους κωδικούς αλλάξτε τους μόνο μετά από συνεννόηση και μόνο από καθαρή συσκευή.
6. Ορίστε υπεύθυνο επικοινωνίας. Ένα πρόσωπο με εξουσία απόφασης πρέπει να είναι διαθέσιμο, και για απενεργοποίηση και επανεκκινήσεις.
7. Επικοινωνήστε τώρα. Τηλεφωνήστε ή γράψτε μας στο WhatsApp. Όλα τα υπόλοιπα τα διευκρινίζουμε μαζί σας βήμα προς βήμα.

Εκτός δικτύου ή να συνεχίσει να λειτουργεί;

Είναι η πιο συχνή ερώτηση στα πρώτα λεπτά και δεν έχει γενική απάντηση. Αν λειτουργεί ένα e-shop με πληρωμές ή μια πύλη με δεδομένα πελατών, συνήθως υπερισχύει η προστασία των δεδομένων. Τότε είναι σωστή μια προσωρινή απομόνωση, για παράδειγμα μέσω σελίδας συντήρησης ή κανόνα τείχους προστασίας που επιτρέπει μόνο τους διαχειριστές σας.

Αντίθετα, η βίαιη απενεργοποίηση σπάνια είναι το καλύτερο πρώτο βήμα, επειδή στη μνήμη υπάρχουν ίχνη που σβήνει μια επανεκκίνηση. Καλύτερο είναι ένα είδωλο του συστήματος, για παράδειγμα ένα snapshot στον πάροχο φιλοξενίας, προτού αλλάξει οτιδήποτε. Στην περίπτωση του PHP2Shell, το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) συνιστά να τίθενται προσωρινά εκτός δικτύου οι διακομιστές ιστού, όταν μια ενημέρωση δεν είναι άμεσα δυνατή. Αυτό δεν σημαίνει ότι κάθε διακομιστής που τίθεται εκτός λειτουργίας έχει παραβιαστεί.

Το αν στη δική σας περίπτωση θα απομονώσετε, θα περιορίσετε ή θα αφήσετε να συνεχίσει να λειτουργεί, το αποφασίζουμε μαζί σας με βάση το τι υπάρχει στο σύστημα.

Νέα εγκατάσταση ή καθαρισμός;

Πολλοί θέλουν να ξαναχτίσουν τον διακομιστή αμέσως. Αυτό δεν είναι λάθος, αλλά μόνο μετά τη διάσωση των στοιχείων. Διαφορετικά μένει ασαφές πώς μπήκε ο επιτιθέμενος και την ίδια διαδρομή θα έχει ανοιχτή και το νέο σύστημα. Τη στάθμιση περιγράφει η σελίδα Νέα εγκατάσταση ή καθαρισμός του διακομιστή;, τη διάσωση πριν από μια ανακατασκευή η σελίδα Διασώστε αποδείξεις προτού στήσετε από την αρχή.

Σημαντικό: μια ενημέρωση PHP από μόνη της δεν λύνει το πρόβλημα. Κλείνει την ευπάθεια, δεν αφαιρεί όμως κακόβουλο λογισμικό που έχει ήδη εισαχθεί. Πώς βρίσκονται ίχνη στα αρχεία καταγραφής, αναφέρεται στη σελίδα Ανάλυση των logs του διακομιστή ιστού μετά από επίθεση. Και θεωρήστε δεδομένο ότι διαβάστηκαν και στοιχεία πρόσβασης από αρχεία διαμόρφωσης: οι προσβάσεις σε βάση δεδομένων, email και API ανήκουν στη λίστα των μυστικών που πρέπει να ανανεωθούν.

Πώς βοηθά συγκεκριμένα η PHP SOS;

1. Καταγραφή της κατάστασης: Διευκρινίζουμε μαζί σας τι παρατηρήθηκε, ποια συστήματα μπορεί να επηρεάζονται και ποια δεδομένα βρίσκονται εκεί.
2. Διάσωση και κλείσιμο: Διασώζουμε αρχεία, βάση δεδομένων και logs προτού αλλάξει οτιδήποτε. Στη συνέχεια περιορίζουμε την επίθεση και κλείνουμε την πόρτα εισόδου, στο PHP2Shell με patch και επανεκκίνηση όλων των διεργασιών PHP.
3. Έλεγχος και καθαρισμός: Αναζητούμε webshells, backdoors, cronjobs και ξένες προσβάσεις και τα αφαιρούμε. Λεπτομέρειες υπάρχουν στη σελίδα Αφαίρεση malware και webshells.
4. Σκλήρυνση και αναφορά: Λαμβάνετε τεκμηρίωση με χρονολόγιο, σημεία ευρημάτων και συστάσεις. Αν το περιστατικό ξεπερνά έναν διακομιστή, περνάμε σε δομημένη αντιμετώπιση περιστατικού (Incident Response).

Τι δεν πρέπει να κάνετε

Υπό πίεση γίνονται αποφύγιμα λάθη. Μη διαγράψετε «ύποπτα» αρχεία από υποψία, χωρίς να τα έχετε διασώσει πρώτα. Μην εκτελέσετε εντολές από φόρουμ που δεν κατανοείτε. Και μην εγκαταστήσετε πρόσθετα ασφαλείας σε διακομιστή που ίσως έχει ήδη παραβιαστεί: ο κακόβουλος κώδικας μπορεί να ξεγελάσει τους σαρωτές και το αποτέλεσμα σας δημιουργεί ψευδή αίσθηση ασφάλειας. Προσοχή και σε συμβουλές να μπλοκάρονται όλα τα αιτήματα με ένα συγκεκριμένο αναγνωριστικό συνεδρίας· ειδικοί συγγραφείς απορρίπτουν ρητά τέτοιες συμβουλές για το PHP2Shell. Την ίδια την έκδοσή σας μπορείτε να την ελέγξετε με ασφάλεια με php -v και μια ματιά στο changelog του πακέτου της διανομής σας, επειδή τα backports αφήνουν συχνά τον αριθμό έκδοσης ίδιο.

Τι να μας στείλετε

• μια σύντομη περιγραφή: τι προσέξατε, από πότε, τι άλλαξε τελευταίο
• το είδος του συστήματος: δικός σας διακομιστής, vServer, διαχειριζόμενος διακομιστής ή πακέτο φιλοξενίας
• την πρόσβαση μέσω SSH ή πίνακα ελέγχου ή την άδεια να μιλήσουμε με τον πάροχο φιλοξενίας σας
• στοιχεία για υπάρχοντα αντίγραφα ασφαλείας και την ηλικία τους
• προειδοποιητικά μηνύματα από τον πάροχο φιλοξενίας, το πρόγραμμα περιήγησης ή πελάτες, κατά λέξη

Αν λείπει κάτι από αυτά, επικοινωνήστε παρ' όλα αυτά. Τα κενά τα καλύπτουμε στη συζήτηση.

Γιατί PHP SOS

Εργαζόμαστε Made in Germany και είμαστε εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Έχετε έναν υπεύθυνο επικοινωνίας, εργαζόμαστε εξ αποστάσεως, χωρίς μετακίνηση, σε όλη τη Γερμανία και την Ευρώπη. Κάθε βήμα τεκμηριώνεται και διακρίνουμε ανοιχτά μεταξύ αποδεδειγμένου, πιθανού και άγνωστου. Υποσχέσεις που δεν μπορεί να τηρήσει κανείς δεν δίνουμε. Μια επισκόπηση της μεταγενέστερης διαχείρισης υπάρχει στον Κατάλογο ελέγχου μετά από μια επίθεση, ολόκληρη την επείγουσα βοήθεια στη σελίδα Παραβιασμένος ιστότοπος; Επείγουσα βοήθεια εξ αποστάσεως. Για την υποχρέωση γνωστοποίησης παραβιάσεων δεδομένων διαβάστε τον κανόνα των 72 ωρών· η νομική εκτίμηση παραμένει στους υπευθύνους προστασίας δεδομένων και στους δικηγόρους.

Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.

Μην περιμένετε μέχρι η υποψία να γίνει μεγαλύτερη ζημιά. Αναλαμβάνουμε από το πρώτο μήνυμα και μένουμε μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί. Δηλώστε τώρα το περιστατικό.

Συχνές ερωτήσεις

Πηγές

• BSI: Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών (Γερμανία)
• Άρθρο 33 ΓΚΠΔ: Γνωστοποίηση στην εποπτική αρχή
• OWASP Cheat Sheets