Ο ιστότοπος διαδίδει malware ή spam; Καλέστε μας. Σας βοηθάμε.

Εν συντομία: Αν η Google, το πρόγραμμα περιήγησής σας, ο πάροχος φιλοξενίας σας ή ένας πελάτης προειδοποιεί για τον ιστότοπό σας, στον διακομιστή σας εκτελείται πολύ πιθανόν ξένος κώδικας. Επηρεάζεστε; Επικοινωνήστε τώρα. Διευκρινίζουμε εξ αποστάσεως τι παραδίδεται, διασώζουμε τα ίχνη, αφαιρούμε τον κακόβουλο κώδικα, κλείνουμε την πρόσβαση και σας συνοδεύουμε μέχρι την εκ νέου έγκριση.

Επηρεάζεστε; Πώς φαίνεται ένας ιστότοπος που διαδίδει malware

Ένας ιστότοπος που διαδίδει κακόβουλο λογισμικό ή spam σπάνια προδίδεται από ορατό ελάττωμα. Συνήθως πρώτοι αναφέρονται άλλοι. Τυπικές ενδείξεις:

• Το πρόγραμμα περιήγησης εμφανίζει πριν από το domain σας μια κόκκινη σελίδα προειδοποίησης, για παράδειγμα «Deceptive site ahead» ή ένα μήνυμα για επιβλαβές λογισμικό.
• Στο Google Search Console υπάρχει ειδοποίηση ασφαλείας ή η σελίδα σας εμφανίζεται στα αποτελέσματα αναζήτησης με την προσθήκη «Αυτός ο ιστότοπος μπορεί να βλάψει τον υπολογιστή σας».
• Επισκέπτες αναφέρουν pop-ups, απρόσμενες ανακατευθύνσεις ή λήψεις που εμφανίζονται μόνο σε κινητές συσκευές ή μόνο μετά από κλικ από την αναζήτηση.
• Τα αποτελέσματα αναζήτησής σας δείχνουν σελίδες που δεν δημιουργήσατε ποτέ, για παράδειγμα διαφημίσεις φαρμάκων ή τυχερών παιχνιδιών σε ξένη γλώσσα.
• Ο πάροχος φιλοξενίας σας γράφει για κατάχρηση, αποστολή spam ή ύποπτες εξερχόμενες συνδέσεις.
• Τα email της εταιρείας σας καταλήγουν στον παραλήπτη στο spam ή επιστρέφουν ασυνήθιστα πολλά σφάλματα παράδοσης.
• Το antivirus δεν αναφέρει τίποτα, τα παράπονα όμως δεν σταματούν.

Περισσότερα από αυτά τα σημεία μαζί μιλούν έντονα υπέρ μιας παραβίασης. Μια μεμονωμένη ένδειξη μπορεί να έχει και αθώα αιτία. Παρ' όλα αυτά πρέπει να την ελέγξετε, επειδή κάθε ημέρα με σελίδα προειδοποίησης κοστίζει επισκέπτες, αιτήματα και εμπιστοσύνη.

Τι κάνετε αμέσως τώρα

1. Προστατέψτε τους επισκέπτες: Θέστε τον ιστότοπο σε λειτουργία συντήρησης ή ζητήστε από τον πάροχο φιλοξενίας να τον αποκλείσει προσωρινά, αν παραδίδεται ενεργά κακόβουλος κώδικας.
2. Μη διαγράψετε τίποτα: Μην αφαιρέσετε αρχεία, μην επαναφέρετε αντίγραφο ασφαλείας, μην κάνετε νέα εγκατάσταση πάνω στην παλιά κατάσταση, προτού γίνει διάσωση.
3. Διατηρήστε τα logs: Ζητήστε από τον πάροχο φιλοξενίας σας να μην αντικαταστήσει τα αρχεία καταγραφής πρόσβασης και σφαλμάτων.
4. Συγκεντρώστε τις ειδοποιήσεις: Τραβήξτε στιγμιότυπα οθόνης των προειδοποιήσεων, σημειώστε ημερομηνία, ώρα και τις επηρεαζόμενες διευθύνσεις.
5. Κατονομάστε τις προσβάσεις: Ποιος έχει πρόσβαση μέσω CMS, FTP, SSH ή πίνακα ελέγχου φιλοξενίας; Τους κωδικούς αλλάξτε τους μόνο μετά από συνεννόηση και μόνο από καθαρή συσκευή.
6. Ενημερώστε εσωτερικά: Η διοίκηση, ο υπεύθυνος προστασίας δεδομένων και, αν υπάρχει ασφαλιστήριο, ο ασφαλιστής πρέπει να γνωρίζουν.
7. Μην υποβάλετε ακόμη αίτημα στη Google: Ένας επανέλεγχος ωφελεί μόνο μετά τον καθαρισμό.

Πώς βοηθά συγκεκριμένα η PHP SOS;

1. Καταγραφή της κατάστασης: Διευκρινίζουμε ποιες προειδοποιήσεις υπάρχουν, από πότε, και ποια συστήματα και δεδομένα μπορεί να επηρεάζονται.
2. Διάσωση και κλείσιμο: Διασώζουμε αρχεία, βάση δεδομένων και logs προτού αλλάξει οτιδήποτε. Στη συνέχεια αποκλείουμε ύποπτες προσβάσεις και σταματάμε την παράδοση του κακόβουλου κώδικα.
3. Έλεγχος και καθαρισμός: Συγκρίνουμε τα αρχεία με μια καθαρή κατάσταση, αναζητούμε webshells, backdoors και εγγραφές στη βάση δεδομένων και τα αφαιρούμε. Περισσότερα στη σελίδα Αφαίρεση malware και webshells.
4. Σκλήρυνση και αναφορά: Κλείνουμε την πόρτα εισόδου, ελέγχουμε το επίπεδο της PHP και τεκμηριώνουμε το περιστατικό. Σας συνοδεύουμε στην άρση αποκλεισμών και προειδοποιήσεων.

Εργαζόμαστε εξ αποστάσεως, χωρίς μετακίνηση, σε όλη τη Γερμανία και την Ευρώπη.

Γιατί η προειδοποίηση επιστρέφει συχνά

Όποιος αφαιρεί μόνο ορατά ίχνη, αντιμετωπίζει το σύμπτωμα. Οι επιτιθέμενοι δημιουργούν συνήθως πολλές προσβάσεις: ένα κρυμμένο αρχείο PHP σε φάκελο upload, ένα παραποιημένο πρόσθετο, έναν επιπλέον λογαριασμό διαχειριστή ή ένα προγραμματισμένο cronjob που κατεβάζει ξανά τα διαγραμμένα αρχεία. Αν καθαρίσετε μόνο τη σελίδα που δείχνει το πρόγραμμα περιήγησης, λίγες ημέρες αργότερα ο ίδιος κακόβουλος κώδικας είναι πάλι εκεί.

Επιπλέον, πολλά κακόβουλα προγράμματα συγκαλύπτουν τη συμπεριφορά τους. Παραδίδουν κακόβουλο κώδικα μόνο σε επισκέπτες που έρχονται μέσω μηχανής αναζήτησης ή μόνο σε κινητές συσκευές. Ο ιδιοκτήτης ανοίγει απευθείας τη σελίδα και δεν βλέπει τίποτα. Πώς προκύπτουν τέτοιες ανακατευθύνσεις, περιγράφει το άρθρο Ο ιστότοπος ανακατευθύνει σε ξένες σελίδες, και γιατί οι σαρωτές συναντούν εδώ όρια, αναφέρεται στη σελίδα Όρια των σαρωτών malware.

Προειδοποίηση Google και spam στο ευρετήριο αναζήτησης

Αν η Google επισήμανε τη σελίδα σας ως επικίνδυνη, η άρση γίνεται μέσω του Search Console. Εκεί ζητάτε επανέλεγχο, μόλις ο διακομιστής είναι αποδεδειγμένα καθαρός. Ποια βήματα έχουν νόημα γι' αυτό, εξηγεί ο οδηγός Αφαίρεση της προειδοποίησης Google. Αν οι επιτιθέμενοι έχουν επιπλέον δημιουργήσει σελίδες spam στο όνομά σας, η αφαίρεσή τους από το ευρετήριο ανήκει στη διαδικασία· υποδείξεις θα βρείτε στη σελίδα SEO spam στο ευρετήριο της Google.

Αν ο διακομιστής σας στέλνει spam, συνήθως έχει γίνει κατάχρηση μιας φόρμας, ενός σεναρίου ή ενός λογαριασμού email. Τότε αξίζει μια ματιά στη σελίδα Ο διακομιστής στέλνει spam, επειδή η φήμη του domain και της διεύθυνσης IP σας υποφέρει με κάθε επιπλέον email.

Πώς εμφανίζονται τα webshells, διαβάστε στη σελίδα Αναγνώριση webshell. Από το PHP2Shell προστίθεται ένα επιπλέον ερώτημα: μια ενημέρωση κλείνει την ευπάθεια, δεν αφαιρεί όμως κακόβουλο λογισμικό που υπάρχει ήδη. Αυτό ισχύει εξίσου σύμφωνα με την εκτίμηση του BSI (της γερμανικής Ομοσπονδιακής Υπηρεσίας Ασφάλειας Πληροφοριών) και τον εξειδικευμένο Τύπο.

Τι να μας στείλετε

• τις ειδοποιήσεις κατά λέξη ή ως στιγμιότυπο οθόνης, με ημερομηνία
• τις επηρεαζόμενες διευθύνσεις και, αν είναι γνωστές, τις διαδρομές πρόσβασης (πίνακας ελέγχου φιλοξενίας, SSH, CMS)
• ονόματα εταιρείας υποστήριξης, προγραμματιστών και παρόχου φιλοξενίας που γνωρίζουν το σύστημα
• ενδείξεις για το τι άλλαξε τελευταίο: ενημερώσεις, νέα πρόσθετα, νέοι συνεργάτες με πρόσβαση
• στοιχεία για αντίγραφα ασφαλείας και την ηλικία τους
• ένα πρόσωπο με εξουσία απόφασης που είναι διαθέσιμο

Οι ελλιπείς πληροφορίες δεν αποτελούν εμπόδιο. Ρωτάμε εμείς για ό,τι λείπει.

Γιατί PHP SOS

Είμαστε πάροχος υπηρεσιών Made in Germany και εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Έχετε έναν σταθερό υπεύθυνο επικοινωνίας, εργαζόμαστε εξ αποστάσεως και τεκμηριώνουμε κάθε βήμα, ώστε να έχετε αποδείξεις έναντι του παρόχου φιλοξενίας, του ασφαλιστή και των πελατών. Δεν υποσχόμαστε τίποτα που δεν μπορεί να τηρήσει κανείς και λέμε ανοιχτά τι είναι αποδεδειγμένο, πιθανό ή άγνωστο. Νομικές συμβουλές δεν παρέχουμε· ερωτήματα για ευθύνη και υποχρεώσεις γνωστοποίησης ανήκουν στους υπευθύνους προστασίας δεδομένων και στον δικηγόρο.

Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.

Αν ο ιστότοπός σας προειδοποιεί τους επισκέπτες, παραδίδει κακόβουλο κώδικα ή στέλνει spam, μετρά κάθε ημέρα που παραμένει έτσι στο δίκτυο. Επικοινωνήστε τώρα: τηλεφωνήστε ή γράψτε μας στο WhatsApp. Αναλαμβάνουμε από το πρώτο μήνυμα και μένουμε μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί. Δηλώστε τώρα το περιστατικό

Συχνές ερωτήσεις

Πηγές

• Βοήθεια Google Search Console
• BSI: Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών (Γερμανία)
• OWASP Cheat Sheets