Lühidalt: Kui soovite oma veebisaidilt pahavara eemaldada lasta, ei piisa üksikute failide kustutamisest. Kindlustame kõigepealt leiu, leiame veebishellid, tagauksed ja peidetud ülesanded, ehitame usaldusväärsetest allikatest uuesti üles ja sulgeme sissepääsu. Alles siis on puhastus töökindel.
Millest te veebisaidil pahavara ära tunnete
Kahjulik kood veebisaitidel tuleb sageli välja alles kaudselt. Tüüpilised on ümbersuunamised võõrastele lehtedele, ainult otsingumootoritele või mobiilseadmetele nähtav rämpssisu, Google'i hoiatus otsingutulemuses, klientide kaebused või veebimajutaja blokeering rämpsposti saatmise tõttu. Serveris ilmnevad tundmatud PHP failid, uued administraatorikontod, muudetud .htaccess-failid või seletamatud cron-tööd.
Pärast PHP2Shelli lisandub veel üks mure: turvaaukude CVE-2026-109618 ja CVE-2026-109619 kaudu saavad ründajad koodi käivitada ilma sisselogimata. Avaldatud ja kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) pole; tuvastamine põhineb käitumisanalüüsil. Kuidas veebishellid tavaliselt välja näevad ja kus nad asuvad, kirjeldab Veebishellide tuvastamine ja eemaldamine.
Pahavara eemaldamine veebisaidilt: miks põhjalikkus on olulisem kui kiirus
Ründajad jätavad harva maha ainult ühe faili. Tavaliselt tehakse mitu tagaust erinevates kohtades: üleslaadimiskaustades, pluginates või teemades, Must-Use-pluginates, andmebaasis, cron-töödes või lisakasutajakontodes. Kui kustutatakse ainult kõige silmatorkavam fail, tuleb kahjulik kood tagasi.
Samal ajal on nakatunud seis tõendusmaterjal. Kes puhastab kiirustades, kaotab võimaluse kindlaks teha, kas kliendiandmed on mõjutatud. Seetõttu kindlustame enne iga muudatust. See võtab vähe aega ja hoiab teile kõik teed lahti, ka hilisema teavituse järelevalveasutusele või kindlustajale.
PHP uuendus ega CMS-i uuendus ei eemalda kahjulikku tarkvara, mis serveris juba asub. Ja puhastatud veebisait nakatub uuesti, kuni sissepääs on lahti.
Kus kahjulik kood tavaliselt peidus on
Järgmisi kohti kontrollime iga puhastuse käigus, sest praktikas on need ikka ja jälle mõjutatud:
| Koht | Tüüpiline leid |
|---|---|
| Üleslaadimiskaustad | PHP failid süütu nimega või pildina maskeeritud |
| Pluginad, teemad, moodulid | lisafailid või muudetud originaalfailid |
| Seadistus | sisse toodud read failides .htaccess, .user.ini või sisenemisfailides |
| Andmebaas | võõrad administraatorikontod, skriptid sisus või suvandites |
| Süsteem | cron-tööd, lisa SSH võtmed, protsessid ilma äratuntava eesmärgita |
| Vahemälud ja ajutised kaustad | kahjuliku koodi koopiad, mis pärast kustutamist uuesti ilmuvad |
Oluline on seos: üksik leid selgitab harva kogu intsidenti. Alles tervikpilt näitab, kuidas ründaja tegutses ja kas ta võttis ligipääsuandmeid kaasa.
Kuidas PHP SOS konkreetselt aitab?
- Kindlustamine: Teeme nakatunud seisus failidest, andmebaasist ja logidest koopia. See säilib hilisemaks analüüsiks.
- Otsimine: Võrdleme programmifaile tootja originaalidega, kontrollime üleslaadimiskaustu käivitatava koodi suhtes, läbi otsime andmebaasi, cron-tööd, kasutajakontod ja serveri seadistuse. WordPressi keskkondade puhul tegutseme nii, nagu on kirjeldatud lehel Tagauste leidmine WordPressis.
- Puhastamine: Tuuma, laiendused ja teemad paigaldame usaldusväärsetest allikatest uuesti, selle asemel et kahtlasi faile ükshaaval lappida. Oma sisu ja üleslaaditud failid kontrollime eraldi ning võtame üle ainult selle, mis on ohutu.
- Põhjuse sulgemine: Paigame PHP ja rakenduse, eemaldame võõrad kontod ning vahetame välja kõik ligipääsuandmed ja võtmed, mida ründaja võis näha.
- Järelkontroll: Jälgime veebisaiti pärast puhastamist uute muudatuste suhtes ja toetame teid Google'i hoiatuse kontrollimisel Search Console'i kaudu. Lähemalt lehel Google'i hoiatuse eemaldamine.
Administraatoritele ohutu esmane pilk hiljuti muudetud PHP failidele:
# PHP failid veebikataloogis, mida on viimase 10 päeva jooksul muudetud
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
Tulemus on vihje, mitte tõend: ründajad võivad ajatemplid muuta.
Mida te saate ja mida me vajame
Saate aruande leitud kahjulike komponentide ja nende leiukohaga, puhastusmeetmetega, vahetatud ligipääsuandmete loendiga ja tõenäolise sissepääsuga. Eristame seejuures selgelt, mis on tõendatud, mis tõenäoline ja mis teadmata.
Teilt vajame:
- ligipääsu serverile või majutuspaneelile, CMS-i halduskeskkonnale ja andmebaasile
- kontaktisikut, kes saab anda nõusoleku paroolivahetuseks ja väljalülitamisteks
- teavet agentuuri, arendaja või veebimajutaja ja süsteemi oma kohanduste kohta
- olemasolevaid varukoopiaid kuupäevaga, et saaksime hinnata, milline seis võiks olla puhas
- ligipääsu Google Search Console'ile, kui kuvatakse hoiatust
Mida me ei luba
Me ei luba, et iga tagaust leitakse igas süsteemis kindlalt üles, kui logid puuduvad või nakatumine on kaua aega tagasi. Ebaselge olukorra korral soovitame uut ülesehitust värskes serveris, kuhu kantakse üle ainult kontrollitud sisu. See on töömahukam, kuid sageli töökindlam tee. Me ei ennusta ka, millal Google või teised teenused hoiatuse eemaldavad; seda otsustavad need pakkujad.
Kui on vaja kohtus kasutataval viisil selgitada, mis täpselt juhtus ja millised andmed on mõjutatud, kaasame IT-forensika spetsialiseerunud partneritega. Ägeda, veel kestva rünnaku korral algab töö hädaabist häkitud veebisaidi korral.
Korduma kippuvad küsimused
Kas pahavaraskanneri plugin piisab minu veebisaidi puhastamiseks?
Skanner leiab tuntud mustreid, kuid mitte iga tagaust. Veebishellid on sageli varjatud, asuvad piltides, vahemälus või andmebaasis või on ankurdatud cron-tööna. Skanner on abivahend, mitte täielik puhastamine.
Kas ma võin lihtsalt vana varukoopia tagasi panna?
Ainult siis, kui on kindel, et varukoopia tehti enne sissemurdmist, ja kui sissepääs pärast suletakse. Muidu on veebisait korraks puhas ja nakatub samal teel uuesti.
Miks ilmub pahavara pärast kustutamist ikka ja jälle uuesti?
Tavaliselt on olemas teine tagauks, cron-töö, manipuleeritud administraatorikonto või turvaauk on veel lahti. Alles siis, kui kõik püsivusmehhanismid on leitud ja põhjus kõrvaldatud, jääb puhastus püsima.
Kas PHP uuendus eemaldab olemasoleva pahavara?
Ei. Paik sulgeb turvaaugu, kuid ei eemalda juba sisse toodud kahjulikku tarkvara. Mõlemad on eraldi töösammud.