Lyhyesti: Jos Google, selaimenne, hosting-yritys tai asiakas varoittaa sivustostanne, palvelimellanne toimii hyvin todennäköisesti vierasta koodia. Jos tämä koskee teitä, ottakaa yhteyttä nyt. Selvitämme etänä, mitä jaetaan, varmistamme jäljet, poistamme haittakoodin, suljemme pääsyn ja kuljemme mukananne uudelleenvapauttamiseen asti.
Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen. Siirtäkää sivusto tarvittaessa huoltotilaan, jotta kävijät ovat suojassa, ja jättäkää tiedostot ja lokit muuttumattomiksi. Ilmoittakaa hätätilanne, niin otamme tilanteen hoitoon ensimmäisestä viestistä alkaen.
Koskeeko tämä teitä? Näin haittaohjelmaa levittävä sivusto ilmenee
Haittaohjelmaa tai roskapostia levittävä sivusto paljastuu harvoin näkyvästä viasta. Yleensä muut ilmoittavat ensin. Tyypillisiä vihjeitä:
- Selain näyttää verkkotunnuksenne edessä punaisen varoitussivun, esimerkiksi ”Deceptive site ahead” tai ilmoituksen haitallisesta ohjelmistosta.
- Google Search Consolessa on tietoturvailmoitus, tai sivunne näkyy hakutuloksissa lisäyksellä ”Tämä sivusto voi vahingoittaa tietokonettanne”.
- Kävijät kertovat ponnahdusikkunoista, odottamattomista uudelleenohjauksista tai latauksista, jotka ilmenevät vain mobiililaitteilla tai vain hausta tulleen klikkauksen jälkeen.
- Hakutuloksissanne näkyy sivuja, joita ette ole koskaan luoneet, esimerkiksi lääkkeiden tai uhkapelien mainontaa vieraalla kielellä.
- Hosting-yrityksenne kirjoittaa väärinkäytöksestä, roskapostin lähetyksestä tai poikkeavista lähtevistä yhteyksistä.
- Yrityksenne sähköpostit päätyvät vastaanottajalla roskapostiin, tai palautuu poikkeuksellisen paljon toimitusvirheitä.
- Virustorjuntanne ei ilmoita mitään, mutta valitukset eivät silti lopu.
Useat näistä yhdessä viittaavat vahvasti vaarantumiseen. Yksittäisellä vihjeellä voi olla myös harmiton syy. Tarkistuttaa se kannattaa silti, sillä jokainen varoitussivun kanssa vietetty päivä maksaa kävijöitä, tiedusteluja ja luottamusta.
Mitä teette heti
- Suojelkaa kävijöitä: Siirtäkää verkkosivusto huoltotilaan tai pyytäkää hosting-yritystä estämään se tilapäisesti, jos haittakoodia jaetaan aktiivisesti.
- Älkää poistako mitään: Ei tiedostojen poistoa, ei varmuuskopion palautusta, ei uudelleenasennusta vanhan tilan päälle ennen varmistusta.
- Säilyttäkää lokit: Pyytäkää hosting-yritystänne olemaan päällekirjoittamatta käyttö- ja virhelokeja.
- Kootkaa ilmoitukset: Ottakaa kuvakaappaukset varoituksista, kirjatkaa päivämäärä, kellonaika ja kyseiset osoitteet.
- Nimetkää tunnukset: Kenellä on pääsy CMS:n, FTP:n, SSH:n tai hosting-paneelin kautta? Salasanat vaihdatte vasta sovittuaan ja vain puhtaalta laitteelta.
- Tiedottakaa sisäisesti: Johdon, tietosuojavastaavan ja voimassa olevan vakuutuksen tapauksessa vakuutusyhtiön tulee olla tietoisia.
- Älkää vielä tehkö hakemusta Googlelle: Uudelleentarkistus auttaa vasta puhdistuksen jälkeen.
Miten PHP SOS auttaa konkreettisesti?
- Tilanteen kartoitus: Selvitämme, mitä varoituksia on, mistä lähtien ja mitkä järjestelmät ja tiedot voivat olla kohteena.
- Varmistus ja sulkeminen: Varmistamme tiedostot, tietokannan ja lokit, ennen kuin mitään muutetaan. Sen jälkeen estämme epäilyttävät pääsyt ja pysäytämme haittakoodin jakelun.
- Tarkistus ja puhdistus: Vertaamme tiedostoja puhtaaseen tilaan, etsimme web shellejä, takaovia ja tietokannan merkintöjä ja poistamme ne. Lisää sivulla Haittaohjelmien ja web shellien poistatus.
- Koventaminen ja raportointi: Suljemme sisäänkäynnin, tarkistamme PHP:n tilan ja dokumentoimme tapauksen. Tuemme teitä estojen ja varoitusten purkamisessa.
Työskentelemme etänä, ilman matkustamista, kaikkialla Saksassa ja Euroopassa.
Miksi varoitus palaa usein
Se, joka poistaa vain näkyvät jäljet, hoitaa oiretta. Hyökkääjät luovat yleensä useita pääsyjä: piilotetun PHP-tiedoston upload-kansioon, manipuloidun lisäosan, ylimääräisen ylläpitäjätilin tai ajastetun cron-työn, joka lataa poistetut tiedostot uudelleen. Jos siivoatte vain sen sivun, jonka selain näyttää, sama haittakoodi on takaisin muutaman päivän kuluttua.
Lisäksi monet haittaohjelmat naamioivat toimintansa. Ne jakavat haittakoodia vain kävijöille, jotka tulevat hakukoneen kautta, tai vain mobiililaitteille. Omistaja avaa sivun suoraan eikä näe mitään. Miten tällaiset uudelleenohjaukset syntyvät, kuvaa kirjoitus Sivusto ohjaa vieraille sivuille, ja miksi skannerit tässä kohtaavat rajansa, kerrotaan sivulla Haittaohjelmaskannerien rajat.
Googlen varoitus ja roskaposti hakuhakemistossa
Jos Google on merkinnyt sivustonne vaaralliseksi, eston purku tapahtuu Search Consolen kautta. Siellä haette uudelleentarkistusta heti kun palvelin on todennetusti puhdas. Mitkä vaiheet siihen kannattaa tehdä, selittää opas Googlen varoituksen poisto. Jos hyökkääjät ovat lisäksi luoneet roskapostisivuja nimissänne, niiden poistaminen hakemistosta kuuluu asiaan; vinkkejä löydätte sivulta SEO-roskaposti Googlen hakemistossa.
Jos palvelimenne lähettää roskapostia, väärinkäytössä on yleensä lomake, skripti tai sähköpostitili. Silloin kannattaa katsoa sivua Palvelin lähettää roskapostia, sillä verkkotunnuksenne ja IP-osoitteenne maine kärsii jokaisesta uudesta viestistä.
Miten web shellit ilmenevät, voitte lukea sivulta Web shellin tunnistaminen. PHP2Shellin jälkeen mukaan tulee yksi lisäkysymys: päivitys sulkee haavoittuvuuden mutta ei poista jo olemassa olevaa haittaohjelmaa. Tämä pätee BSI:n tilannekuvan ja alan lehdistön mukaan yhtäläisesti.
Mitä teidän kannattaa lähettää meille
- ilmoitukset sanatarkasti tai kuvakaappauksina päivämäärineen
- kyseiset osoitteet ja, jos tiedossa, pääsyreitit (hosting-paneeli, SSH, CMS)
- järjestelmän tuntevien toimiston, kehittäjien ja hosting-yrityksen nimet
- tiedot siitä, mitä viimeksi muutettiin: päivitykset, uudet lisäosat, uudet työntekijät, joilla on pääsy
- tiedot varmuuskopioista ja niiden iästä
- tavoitettavissa oleva henkilö, jolla on päätösvalta
Puutteelliset tiedot eivät ole este. Kysymme, mitä puuttuu.
Miksi PHP SOS
Olemme saksalainen palveluntarjoaja (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Teillä on vakituinen yhteyshenkilö, työskentelemme etänä ja dokumentoimme jokaisen vaiheen, jotta teillä on todisteet hosting-yritystä, vakuutusyhtiötä ja asiakkaita varten. Emme lupaa mitään, mitä kukaan ei voi pitää, ja kerromme avoimesti, mikä on todennettua, todennäköistä tai tuntematonta. Emme anna oikeudellista neuvontaa; vastuuta ja ilmoitusvelvollisuuksia koskevat kysymykset kuuluvat tietosuojavastaavalle ja lakimiehelle.
Koskeeko tämä teitä? Soittakaa. Autamme.
Jos sivustonne varoittaa kävijöitä, jakaa haittakoodia tai lähettää roskapostia, jokainen päivä, jonka se on siten verkossa, on tärkeä. Ottakaa yhteyttä nyt: soittakaa tai kirjoittakaa WhatsAppilla. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen ja pysymme mukana, kunnes tapaus on käsitelty loppuun ja dokumentoitu. Ilmoittakaa hätätilanne nyt
Usein kysytyt kysymykset
Miksi selain näyttää varoituksen sivustostani?
Selaimet käyttävät luetteloita tunnetuista vaarallisista sivustoista. Jos verkkotunnuksenne on niissä, selain estää avaamisen punaisella varoitussivulla. Yleensä taustalla on vierasta koodia palvelimella, joka ohjaa kävijöitä muualle tai lataa haittaohjelmia.
Riittääkö, että ilmoitan Googlelle varoituksen hoidetuksi?
Ei. Googlen uudelleentarkistus auttaa vain, jos haittakoodi on ensin poistettu kokonaan ja sisäänkäynti suljettu. Muuten varoitus ilmestyy pian uudelleen, ja hylätty hakemus vie aikaa.
Virustorjuntani ei löydä mitään, mutta varoitus pysyy. Mistä se johtuu?
Skannerit tunnistavat ennen kaikkea tunnettuja kaavoja. Haittakoodi, jota tarjoillaan vain tietyille kävijöille, hakukoneille tai laitteille, jää usein huomaamatta. Silloin auttaa vain tiedostojen vertailu puhtaaseen tilaan ja lokien analysointi.
Miksi yritykseni sähköpostit päätyvät yhtäkkiä roskapostikansioon?
Jos palvelintanne tai tiliänne on käytetty roskapostin lähettämiseen, verkkotunnuksenne ja IP-osoitteenne maine laskee. Vastaanottajien palvelimet pitävät viestejänne silloin epäilyttävinä. Vasta puhdistuksen jälkeen maine voidaan rakentaa uudelleen.
Voinko vain ottaa sivustoni pois verkosta?
Kyllä, ja haittakoodin aktiivisessa jakelussa se on usein järkevää kävijöiden suojaamiseksi. Älkää kuitenkaan poistako mitään. Lokit ja tiedostot näyttävät, miten hyökkääjä pääsi sisään.