Lühidalt: Kui Google, teie brauser, teie majutaja või klient hoiatab teie veebisaidi eest, töötab teie serveris väga tõenäoliselt võõras kood. Kui see puudutab teid, andke kohe teada. Selgitame kaugteel, mida edastatakse, kindlustame jäljed, eemaldame kahjuliku koodi, sulgeme ligipääsu ja saadame teid kuni uue vabastamiseni.
Ärge praegu midagi kustutage ega installige uuesti. Pange sait vajaduse korral hooldusrežiimi, et külastajad oleksid kaitstud, ning jätke failid ja logid muutmata. Teatage hädaolukorrast ja võtame töö üle esimesest sõnumist.
Kas see puudutab teid? Nii näeb välja pahavara levitav veebisait
Veebisait, mis levitab pahavara või rämpsu, ei jää harva silma nähtava defektiga. Tavaliselt annavad kõigepealt teada teised. Tüüpilised viited:
- Brauser kuvab teie domeeni ees punase hoiatuslehe, näiteks „Deceptive site ahead“ või teate kahjuliku tarkvara kohta.
- Google Search Console'is on turvateade või teie leht ilmub otsingutulemustes lisandiga „See veebisait võib teie arvutit kahjustada“.
- Külastajad teatavad hüpikakendest, ootamatutest ümbersuunamistest või allalaadimistest, mis ilmnevad ainult mobiilseadmetes või ainult pärast klõpsu otsingust.
- Teie otsingutulemustes on lehti, mida te pole kunagi loonud, näiteks võõrkeelne reklaam ravimite või hasartmängu kohta.
- Teie majutaja kirjutab väärkasutuse, rämpsposti saatmise või silmatorkavate väljaminevate ühenduste pärast.
- Teie ettevõtte kirjad satuvad vastuvõtjal rämpsposti või tuleb silmatorkavalt palju kohaletoimetamise vigu.
- Teie viirusetõrje ei teata midagi, kaebused ei lõpe siiski.
Mitu neist punktidest koos viitab tugevalt kompromiteerimisele. Üksik viide võib olla ka kahjutu põhjusega. Laske seda siiski kontrollida, sest iga päev hoiatuslehega maksab külastajaid, päringuid ja usaldust.
Mida teha kohe
- Kaitske külastajaid: Lülitage veebisait hooldusrežiimi või laske majutajal see ajutiselt blokeerida, kui kahjulikku koodi aktiivselt edastatakse.
- Ärge midagi kustutage: Ärge eemaldage faile, ärge taastage varukoopiat, ärge installige vana seisu peale uuesti enne kindlustamist.
- Säilitage logid: Paluge oma majutajal juurdepääsu- ja veaprotokolle mitte üle kirjutada.
- Koguge teated kokku: Tehke hoiatustest ekraanipildid, pange kirja kuupäev, kellaaeg ja mõjutatud aadressid.
- Nimetage ligipääsud: Kellel on ligipääs CMS-i, FTP, SSH või majutuse haldusliidese kaudu? Paroole muutke alles pärast kokkulepet ja ainult puhtast seadmest.
- Teavitage sisemiselt: Juhtkond, andmekaitsespetsialist ja olemasoleva poliisi korral kindlustaja peaksid teadma.
- Ärge esitage Google'ile taotlust veel: Kontrollitaotlus aitab alles pärast puhastamist.
Kuidas PHP SOS konkreetselt aitab?
- Olukorra kaardistamine: Selgitame, millised hoiatused on olemas, alates millal ning millised süsteemid ja andmed võivad olla mõjutatud.
- Kindlustamine ja sulgemine: Kindlustame failid, andmebaasi ja logid enne, kui midagi muudetakse. Seejärel blokeerime kahtlased ligipääsud ja peatame kahjuliku koodi edastamise.
- Kontroll ja puhastamine: Võrdleme faile puhta seisuga, otsime veebishelle, tagauksi ja kirjeid andmebaasis ning eemaldame need. Rohkem teemal Pahavara ja veebishellide eemaldamine.
- Karastamine ja aruandlus: Sulgeme sisenemisukse, kontrollime PHP seisu ja dokumenteerime juhtumi. Saadame teid blokeeringute ja hoiatuste tühistamisel.
Töötame kaugteel, ilma kohale sõitmata, kogu Saksamaal ja Euroopas.
Miks hoiatus sageli tagasi tuleb
Kes kõrvaldab ainult nähtavad jäljed, ravib sümptomit. Ründajad loovad tavaliselt mitu ligipääsu: peidetud PHP faili üleslaadimiskaustas, manipuleeritud pistikprogrammi, täiendava administraatorikonto või ajastatud cron-töö, mis laadib kustutatud failid uuesti juurde. Kui koristate ainult selle lehe, mida brauser näitab, on mõne päeva pärast sama kahjulik kood tagasi.
Lisaks varjavad paljud kahjurid oma käitumist. Nad edastavad kahjulikku koodi ainult külastajatele, kes tulevad otsingumootori kaudu, või ainult mobiilseadmetele. Omanik avab lehe otse ja ei näe midagi. Kuidas sellised ümbersuunamised tekivad, kirjeldab artikkel Veebisait suunab võõrastele lehtedele ümber, ja miks skannerid siin piiridesse jõuavad, on lehel Pahavaraskannerite piirid.
Google'i hoiatus ja rämps otsinguindeksis
Kui Google on teie lehe ohtlikuks märkinud, toimub tühistamine Search Console'i kaudu. Seal taotlete kontrolli, niipea kui server on tõendatult puhas. Millised sammud selleks on mõistlikud, selgitab juhend Google'i hoiatuse eemaldamine. Kui ründajad on teie nimel loonud lisaks rämpslehti, kuulub nende indeksist eemaldamine asja juurde; viiteid leiate lehelt SEO-rämps Google'i indeksis.
Kui teie server saadab rämpsposti, on tavaliselt kuritarvitatud vormi, skripti või e-posti kontot. Siis tasub vaadata lehte Server saadab rämpsposti, sest teie domeeni ja IP-aadressi maine kannatab iga järgmise kirjaga.
Kuidas veebishellid ennast ilmutavad, lugege lehelt Veebishelli tuvastamine. Alates PHP2Shellist lisandub üks küsimus: uuendus sulgeb turvaauku, kuid ei eemalda pahavara, mis on juba olemas. See kehtib BSI olukorra ja erialaajakirjanduse järgi võrdselt.
Mida peaksite meile saatma
- teated sõna-sõnalt või ekraanipildina, koos kuupäevaga
- mõjutatud aadressid ja, kui teada, ligipääsuteed (majutuse haldusliides, SSH, CMS)
- süsteemi tundvate agentuuri, arendajate ja majutaja nimed
- viited sellele, mida viimati muudeti: uuendused, uued pistikprogrammid, uued töötajad ligipääsuga
- andmed varukoopiate ja nende vanuse kohta
- kättesaadav inimene, kellel on otsustusõigus
Mittetäielikud andmed ei ole takistus. Küsime puuduva kohta järele.
Miks PHP SOS
Oleme Saksamaal tehtud (Made in Germany) teenusepakkuja ja koos oma küberspetsialistide partnervõrgustikuga spetsialiseerunud IT-turvalisusele üle 25 aasta. Teil on kindel kontaktisik, töötame kaugteel ja dokumenteerime iga sammu, et teil oleksid majutaja, kindlustaja ja klientide ees tõendid käes. Me ei luba midagi, mida keegi ei saa täita, ning ütleme avameelselt, mis on tõendatud, tõenäoline või teadmata. Õigusnõu me ei anna; vastutuse ja teavitamiskohustuste küsimused kuuluvad andmekaitsespetsialistile ja advokaadile.
Kas see puudutab teid? Helistage. Me aitame.
Kui teie veebisait hoiatab külastajaid, edastab kahjulikku koodi või saadab rämpsposti, loeb iga päev, mil see nii võrgus seisab. Andke kohe teada: helistage või kirjutage WhatsAppis. Võtame töö üle esimesest sõnumist ja jääme juurde, kuni juhtum on lõpetatud ja dokumenteeritud. Teatage nüüd hädaolukorrast
Korduma kippuvad küsimused
Miks näitab brauser hoiatust minu veebisaidi kohta?
Brauserid kasutavad teadaolevate ohtlike lehtede nimekirju. Kui teie domeen on seal kirjas, blokeerib brauser avamise punase hoiatuslehega. Taga on tavaliselt serveris olev võõras kood, mis suunab külastajaid ümber või laadib pahavara juurde.
Kas piisab Google'ile hoiatuse lahendatuks teatamisest?
Ei. Google'i kontrollitaotlus aitab ainult siis, kui kahjulik kood on enne täielikult eemaldatud ja sisenemisuks suletud. Muidu ilmub hoiatus peagi uuesti ja tagasi lükatud taotlus võtab aega.
Mu viirusetõrje ei leia midagi, hoiatus jääb siiski. Mis põhjus see on?
Skannerid tunnevad ära eeskätt teadaolevaid mustreid. Kahjulik kood, mida edastatakse ainult teatud külastajatele, otsingumootoritele või seadmetele, jääb sageli avastamata. Siis aitab ainult failide võrdlus puhta seisuga ja logide hindamine.
Miks satuvad mu ettevõtte kirjad äkki rämpsposti kausta?
Kui teie serverit või kontot on rämpsposti saatmiseks kuritarvitatud, langeb teie domeeni ja IP-aadressi maine. Vastuvõtjate serverid peavad teie kirju siis kahtlaseks. Maine saab uuesti üles ehitada alles pärast puhastamist.
Kas ma võin oma veebisaidi lihtsalt võrgust maha võtta?
Jah, ja aktiivse kahjuliku koodi edastamise korral on see sageli mõistlik, et külastajaid kaitsta. Ärge seejuures aga midagi kustutage. Logid ja failid näitavad, kuidas ründaja sisse sai.