Lühidalt: Kas see puudutab teid? Helistage. Me aitame. Kui kahtlustate, et teie server on häkitud, loeb kõigepealt üks asi: jäljed säilitada. Võtame esimesest sõnumist alates kaugteel üle olukorrapildi, kindlustamise, tõkestamise, puhastamise ja dokumenteerimise, kuni juhtum on lõpetatud.
Ärge praegu midagi kustutage ega installige uuesti. Ka mitte varukoopiat taastada, enne kui on kindlustatud. Kes koristab, hävitab just need jäljed, mis näitavad, kuidas ründaja sisse pääses. Teatage hädaolukorrast, siis tegutseme koos.
Kas see puudutab teid? Märgid, et server on häkitud
Teadaandmiseks piisab kahtlusest. Rünnakut ei pea te tõendama. Tüüpilised viited on:
- Veebiserver või PHP-FPM käivitab protsesse nagu
shvõibash. See on tugev hoiatusmärk, mida selgitame lehel Veebiserver käivitab shelli. - Üleslaadimis-, vahemälu- või ajutistes kaustades on uusi või tundmatuid PHP faile.
- On cron-töid, mida keegi ei ole loonud, või SSH-võtmeid, mida keegi ei oska kellelegi seostada.
- Koormus on ilma nähtava põhjuseta suur või server loob ebatavalisi väljaminevaid ühendusi.
- Teie serveri kirjad satuvad rämpsposti või lükatakse tagasi.
- Majutaja, klient või brauseri hoiatus teatab kahjulikust koodist.
- CMS-is ilmuvad administraatorikontod, mida keegi ei ole loonud.
Rohkem märke leiate lehelt Kas ma olen juba kompromiteeritud?. Kui mitu punkti kehtib, käsitlege serverit häkituna, kuni vastupidine on tõendatud.
Server häkitud: mida teha kohe
- Säilitage rahu ja ärge midagi muutke. Ärge kustutage faile, ärge tehke „kiireid parandusi“, ärge installige vana seisu peale uuesti.
- Fikseerige ajapunkt. Pange kirja, mida te millal märkasite ja kes tegi viimati süsteemis muudatusi.
- Säilitage logid. Juurdepääsu-, vea- ja süsteemilogid ei tohi rotatsiooni käigus kaduda ega üle kirjutuda. PHP2Shelli puhul soovitab erialaajakirjandus serverilogisid säilitada alates 20.10.2026.
- Vähendage ründepinda. Eemaldage server avalikust võrgust või blokeerige see tulemüüriga, kui andmed võivad lekkida. Ärge lihtsalt lülitage seda välja.
- Koguge ligipääsud kokku. Kellel on SSH-, haldusliidese-, FTP-, CMS- ja andmebaasiligipääs? Muutke paroole alles pärast kokkulepet ja ainult puhtast seadmest.
- Nimetage kontaktisik. Üks otsustusõigusega inimene peaks olema kättesaadav, ka väljalülitamise ja taaskäivitamise jaoks.
- Andke nüüd teada. Helistage või kirjutage WhatsAppis. Kõik muu selgitame teiega samm-sammult.
Võrgust eemaldada või töötada lasta?
See on esimestel minutitel kõige sagedasem küsimus ja sellele pole üldist vastust. Kui töötab makseid töötlev e-pood või kliendiandmetega portaal, kaalub tavaliselt üles andmete kaitse. Siis on ajutine eraldamine õige, näiteks hoolduslehe või tulemüürireegli kaudu, mis lubab ainult teie administraatoreid.
Jõuga väljalülitamine seevastu on harva parim esimene samm, sest töömälus on jäljed, mille taaskäivitus kustutab. Parem on süsteemi kujutis, näiteks majutaja hetktõmmis (snapshot), enne kui midagi muudetakse. PHP2Shelli olukorras soovitab BSI veebiserverid ajutiselt võrgust eemaldada, kui uuendus ei ole kohe võimalik. See ei tähenda, et iga väljalülitatud server oleks häkitud.
Kas teie puhul eraldada, piirata või töötada lasta, otsustame koos teiega selle põhjal, mis süsteemis asub.
Uuesti üles seada või puhastada?
Paljud tahaksid serveri kõige meelsamini kohe uuesti üles ehitada. See ei ole vale, kuid alles pärast kindlustamist. Muidu jääb selgusetuks, kuidas ründaja sisse pääses, ning sama tee on lahti ka uuel süsteemil. Kaalutlust kirjeldab leht Server uuesti üles seada või puhastada?, kindlustamist enne uuesti ülesehitamist leht Kindlustage tõendid enne uuesti üles seadmist.
Oluline: ainuüksi PHP uuendus probleemi ei lahenda. See sulgeb turvaauku, kuid ei eemalda juba sisse toodud pahavara. Kuidas leida jälgi logidest, leiate lehelt Veebiserveri logide hindamine pärast rünnakut. Ja lähtuge sellest, et seadistusfailidest loeti kaasa ka ligipääsuandmed: andmebaasi-, e-posti- ja API-ligipääsud kuuluvad uuendatavate saladuste nimekirja.
Kuidas PHP SOS konkreetselt aitab?
- Olukorra kaardistamine: Selgitame teiega, mida on täheldatud, millised süsteemid võivad olla mõjutatud ja millised andmed seal asuvad.
- Kindlustamine ja sulgemine: Kindlustame failid, andmebaasi ja logid enne, kui midagi muudetakse. Seejärel tõkestame rünnaku ja sulgeme sisenemisukse, PHP2Shelli puhul paiga ja kõigi PHP protsesside taaskäivitusega.
- Kontroll ja puhastamine: Otsime veebishelle, tagauksi, cron-töid ja võõraid ligipääse ning eemaldame need. Üksikasjad leiate lehelt Pahavara ja veebishellide eemaldamine.
- Karastamine ja aruandlus: Saate dokumentatsiooni ajajoone, leiukohtade ja soovitustega. Kui juhtum ulatub üle ühe serveri, läheme üle struktureeritud intsidendile reageerimisele (Incident Response).
Mida mitte teha
Stressis juhtub välditavaid vigu. Ärge kustutage „kahtlaseid“ faile kahtluse alusel, kui te pole neid enne kindlustanud. Ärge käivitage foorumitest käske, millest te aru ei saa. Ja ärge paigaldage turvalisuse pistikprogramme serverisse, mis on võib-olla juba kompromiteeritud: kahjulik kood võib skannereid petta ning tulemus uinutab teid valeturvalisusse. Ettevaatust ka nõuannetega blokeerida kõik päringud kindla sessiooni ID-ga; erialaautorid lükkavad sellised PHP2Shelli kohta antud nõuanded selgesõnaliselt tagasi. Oma versiooni saate kindlalt kontrollida käsuga php -v ja pilguga oma distributsiooni paketi muudatuslogisse, sest tagasiportimine jätab versiooninumbri sageli samaks.
Mida peaksite meile saatma
- lühikirjeldus: mis on silma jäänud, alates millal, mida viimati muudeti
- süsteemi liik: oma server, vServer, hallatav server (Managed Server) või majutuspakett
- ligipääs SSH või haldusliidese kaudu või luba rääkida teie majutajaga
- viited olemasolevatele varukoopiatele ja nende vanusele
- majutaja, brauseri või klientide hoiatusteated sõna-sõnalt
Kui midagi neist puudub, andke ikkagi teada. Lüngad täidame vestluses.
Miks PHP SOS
Töötame Saksamaal tehtud (Made in Germany) lahendustega ja oleme koos oma küberspetsialistide partnervõrgustikuga spetsialiseerunud IT-turvalisusele üle 25 aasta. Teil on üks kontaktisik, töötame kaugteel, ilma kohale sõitmata, kogu Saksamaal ja Euroopas. Iga samm dokumenteeritakse ning eristame avameelselt tõendatut, tõenäolist ja teadmata. Lubadusi, mida keegi ei saa täita, me ei anna. Ülevaade järeltööst on Kontrollnimekirjas pärast häkkimist, kogu kiirabi lehel Veebisait häkitud? Kiirabi kaugteel. Andmeõnnetuste teavitamiskohustuse kohta lugege 72 tunni reeglit; õiguslik hinnang jääb andmekaitsespetsialistidele ja advokaatidele.
Kas see puudutab teid? Helistage. Me aitame.
Ärge oodake, kuni kahtlusest kasvab suurem kahju. Võtame töö üle esimesest sõnumist ja jääme juurde, kuni juhtum on lõpetatud ja dokumenteeritud. Teatage nüüd hädaolukorrast.
Korduma kippuvad küsimused
Server häkitud: kas peaksin selle kohe välja lülitama?
Mitte kiirustades. Väljalülitamine võib hävitada lenduvad jäljed töömälus. Parem on server võrgust lahti ühendada või tulemüüriga eraldada ning kõigepealt kindlustada. Kui te pole kindel, andke enne meile teada.
Kuidas ma saan teada, kas mu server on tõesti häkitud?
Viiteid annavad protsessid, mida veebiserver käivitab, uued PHP failid üleslaadimis- või vahemälukaustades, tundmatud cron-tööd ja SSH-võtmed ning ebatavalised väljaminevad ühendused. Kindluse annab alles logide ja failide analüüs. PHP2Shelli kohta kinnitatud tunnuseid ei ole, tuvastamine põhineb käitumisanalüüsil.
Kas PHP uuendusest piisab, kui server on juba häkitud?
Ei. Paik sulgeb sisenemisukse, kuid ei eemalda juba sisse toodud pahavara ega tõesta, et varem midagi ei juhtunud. Pärast uuendust tuleb lisaks kõik PHP protsessid uuesti käivitada.
Kas pean häkitud serverist teatama?
Kui isikuandmed võivad olla mõjutatud, võib järelevalveasutuse teavitamine 72 tunni jooksul olla vajalik. Hinnangu annavad teie andmekaitsespetsialist või advokaat; meie annab selleks tehnilised faktid.
Kas ma saan häkitud serveri ise puhastada?
Väikeste süsteemide puhul on see võimalik, kuid riskantne: kes eemaldab ainult nähtavad failid, jätab sageli tähele panemata tagauksed, cron-tööd või ligipääsud. Kontrollime, kas puhastamisest piisab või on mõistlikum ehitada uuesti üles puhastest allikatest.