Lyhyesti: Jos haluatte haittaohjelman poistettavaksi verkkosivustoltanne, yksittäisten tiedostojen poistaminen riittää harvoin. Turvaamme ensin tilanteen, löydämme web shellit, takaovet ja piilotetut tehtävät, rakennamme luotettavista lähteistä uudelleen ja suljemme sisäänkäynnin. Vasta sitten puhdistus kestää.
Mistä tunnistatte haittaohjelman verkkosivustolla
Haittakoodi verkkosivustolla huomataan usein vasta välillisesti. Tyypillisiä ovat uudelleenohjaukset vieraille sivuille, vain hakukoneille tai mobiililaitteille näkyvä roskapostisisältö, Googlen varoitus hakutuloksissa, asiakkaiden valitukset tai hosting-yrityksen asettama esto roskapostin lähettämisen vuoksi. Palvelimella näkyvät tuntemattomat PHP-tiedostot, uudet ylläpitäjätilit, muuttuneet .htaccess-tiedostot tai selittämättömät cron-tehtävät.
PHP2Shellin jälkeen mukaan tulee vielä yksi huoli: haavoittuvuuksien CVE-2026-109618 ja CVE-2026-109619 kautta hyökkääjät voivat suorittaa koodia ilman kirjautumista. Vahvistettuja, julkaistuja Indicators of Compromise -tunnisteita ei ole; havaitseminen perustuu käyttäytymisanalyysiin. Millaisia web shellit tyypillisesti ovat ja missä ne sijaitsevat, kuvataan sivulla Web shellien tunnistaminen ja poisto.
Haittaohjelman poisto verkkosivustolta: miksi perusteellisuus on tärkeämpää kuin nopeus
Hyökkääjät jättävät harvoin vain yhden tiedoston. Tavallista on useita takaovia eri paikoissa: latauskansioissa, lisäosissa tai teemoissa, must-use-lisäosissa, tietokannassa, cron-tehtävissä tai ylimääräisissä käyttäjätileissä. Jos poistetaan vain silmiinpistävin tiedosto, haittakoodi palaa.
Samalla saastunut tila on todiste. Joka puhdistaa hätiköiden, menettää mahdollisuuden selvittää, ovatko asiakastiedot vaarantuneet. Siksi turvaamme tilanteen ennen jokaista muutosta. Se vie vähän aikaa ja pitää kaikki tiet auki, myös myöhemmän ilmoituksen valvontaviranomaiselle tai vakuutusyhtiölle.
PHP-päivitys tai CMS-päivitys ei poista haittaohjelmaa, joka on jo palvelimella. Ja puhdistettu verkkosivusto saastuu uudelleen, kunhan sisäänkäynti on auki.
Missä haittakoodi tyypillisesti piileskelee
Seuraavat paikat tarkistamme jokaisessa puhdistuksessa, koska ne ovat käytännössä yhä uudelleen kohteena:
| Paikka | Tyypillinen löytö |
|---|---|
| Latauskansiot | PHP-tiedostoja harmittomilta vaikuttavilla nimillä tai kuvaksi naamioituina |
| Lisäosat, teemat, moduulit | ylimääräisiä tiedostoja tai muutettuja alkuperäistiedostoja |
| Konfiguraatio | lisättyjä rivejä tiedostoissa .htaccess, .user.ini tai aloitustiedostoissa |
| Tietokanta | vieraita ylläpitäjätilejä, komentosarjoja sisällöissä tai asetuksissa |
| Järjestelmä | cron-tehtäviä, ylimääräisiä SSH-avaimia, prosesseja ilman tunnistettavaa tarkoitusta |
| Välimuistit ja väliaikaiset kansiot | haittakoodin kopioita, jotka ilmestyvät poiston jälkeen uudelleen |
Tärkeää on kokonaisuus: yksittäinen löytö selittää harvoin koko tapauksen. Vasta kokonaiskuva osoittaa, miten hyökkääjä eteni ja onko hän vienyt tunnuksia mukanaan.
Miten PHP SOS auttaa konkreettisesti?
- Turvaaminen: Teemme kopion tiedostoista, tietokannasta ja lokeista saastuneessa tilassa. Se säilyy myöhempää arviointia varten.
- Etsintä: Vertaamme ohjelmatiedostoja valmistajan alkuperäisiin, tarkistamme latauskansiot suoritettavan koodin varalta ja käymme läpi tietokannan, cron-tehtävät, käyttäjätilit ja palvelimen konfiguraation. WordPress-ympäristöissä toimimme sivulla Takaovien löytäminen WordPressistä kuvatulla tavalla.
- Puhdistus: Ytimen, laajennukset ja teemat asennamme uudelleen luotettavista lähteistä sen sijaan, että korjaisimme epäilyttäviä tiedostoja yksitellen. Omat sisällöt ja lataukset tarkistamme erikseen ja otamme mukaan vain sen, mikä on vaaratonta.
- Syyn sulkeminen: Päivitämme PHP:n ja sovelluksen, poistamme vieraat tilit ja vaihdamme kaikki tunnukset ja avaimet, jotka hyökkääjä on voinut nähdä.
- Jälkitarkistus: Seuraamme verkkosivustoa puhdistuksen jälkeen uusien muutosten varalta ja autamme teitä pyytämään Googlen varoituksen tarkistuksen Search Consolen kautta. Lisää aiheesta sivulla Googlen varoituksen poistaminen.
Ylläpitäjille vaaraton ensimmäinen katsaus äskettäin muuttuneisiin PHP-tiedostoihin:
# Verkkohakemiston PHP-tiedostot, joita on muutettu viimeisten 10 päivän aikana
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
Tulos on vihje, ei todiste: hyökkääjät voivat muuttaa aikaleimoja.
Mitä saatte ja mitä tarvitsemme
Saatte raportin, jossa on löydetyt haittakomponentit ja niiden löytöpaikat, puhdistustoimenpiteet, luettelo vaihdetuista tunnuksista ja todennäköinen sisäänkäynti. Erottelemme selvästi, mikä on todennettua, mikä todennäköistä ja mikä tuntematonta.
Tarvitsemme teiltä:
- pääsyn palvelimeen tai hosting-paneeliin, CMS:n ylläpitoon ja tietokantaan
- yhteyshenkilön, joka voi hyväksyä salasanojen vaihdot ja sammutukset
- tietoja toimistosta, kehittäjästä tai hosting-yrityksestä sekä järjestelmän omista mukautuksista
- olemassa olevat varmuuskopiot päivämäärineen, jotta voimme arvioida, mikä tila voisi olla puhdas
- pääsyn Google Search Consoleen, jos varoitus on näkyvissä
Mitä emme lupaa
Emme lupaa, että jokainen takaovi löytyy varmasti jokaisesta järjestelmästä, jos lokit puuttuvat tai saastuminen on kaukana menneisyydessä. Epäselvässä tilanteessa suosittelemme uudelleenrakennusta uudelle palvelimelle, jolle siirretään vain tarkistettu sisältö. Se on työläämpää mutta usein luotettavampi tie. Emme myöskään ennusta, milloin Google tai muut palvelut poistavat varoituksen; sen päättävät kyseiset palveluntarjoajat.
Jos on selvitettävä oikeuskelpoisesti, mitä tarkalleen tapahtui ja mitkä tiedot ovat vaarantuneet, otamme mukaan IT-forensiikan erikoistuneiden kumppanien kanssa. Akuutissa, yhä käynnissä olevassa hyökkäyksessä työ alkaa hätäavusta hakkeroituun verkkosivustoon.
Usein kysytyt kysymykset
Riittääkö haittaohjelmaskanneri-lisäosa verkkosivustoni puhdistamiseen?
Skanneri löytää tunnetut mallit mutta ei jokaista takaovea. Web shellit ovat usein hämärrettyjä, ne sijaitsevat kuvissa, välimuisteissa tai tietokannassa tai ne on ankkuroitu cron-tehtäväksi. Skanneri on apuväline, ei täydellinen puhdistus.
Voinko vain palauttaa vanhan varmuuskopion?
Vain jos on varmaa, että varmuuskopio syntyi ennen murtoa, ja jos sisäänkäynti suljetaan sen jälkeen. Muuten verkkosivusto on hetken puhdas ja saastuu uudelleen samaa reittiä.
Miksi haittaohjelma ilmestyy poiston jälkeen yhä uudelleen?
Yleensä on toinen takaovi, cron-tehtävä, manipuloitu ylläpitäjätili tai haavoittuvuus on yhä auki. Vasta kun kaikki pysyvyysmekanismit on löydetty ja syy poistettu, puhdistus pysyy voimassa.
Poistaako PHP-päivitys olemassa olevan haittaohjelman?
Ei. Korjaus sulkee haavoittuvuuden mutta ei poista jo asennettua haittaohjelmaa. Nämä ovat erilliset työvaiheet.