# Skeneri zlonamjernog softvera za web-stranice: što pronalaze, a što ne

> Skeneri zlonamjernog softvera za web-stranice: što prepoznaju vanjski, skeneri u dodacima i na poslužitelju, gdje su im granice i zašto „ništa“ nije „čisto“.

Izvor: https://phpsos.de/hr/blog/grenzen-von-malware-scannern/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Skener zlonamjernog softvera za web-stranice pronalazi ponajprije poznate obrasce u datotekama ili u isporučenoj stranici. Novi i prikriveni kod, stražnja vrata u bazi podataka, tuđi računi, cron poslovi i SSH ključevi često ostaju nevidljivi. „Ništa nije pronađeno“ stoga ne znači „čisto“. Provjera postaje pouzdana tek kombinacijom skenera, usporedbe s originalom, provjere baze podataka i sustava te nadzora ponašanja.

## Varljivi mir nakon zelene kvačice

Nakon PHP2Shella mnogi su operateri učinili ono što se samo nameće: pokrenuli skener. Internetska usluga provjerava početnu stranicu, sigurnosni dodatak pretražuje web-direktorij, rezultat je zelen. Time se čini da je odgovoreno na pitanje je li se išta dogodilo prije zakrpe.

Problem je u načelu. Većina skenera uspoređuje sadržaje s obrascima poznatog zlonamjernog softvera. Za ranjivosti CVE-2026-109618 i CVE-2026-109619 nema objavljenih, potvrđenih Indicators of Compromise; otkrivanje se temelji na analizi ponašanja. Skener ne može tražiti tragove koje nitko ne poznaje. U najboljem slučaju pronalazi opći zlonamjerni softver koji je nakon provale naknadno učitan, pod uvjetom da slijedi poznate obrasce.

To skenere ne čini bezvrijednima. Znači samo da njihov rezultat treba ispravno svrstati. Koji su znakovi važni osim skenera, opisuje članak [Jesam li već kompromitiran?](https://phpsos.de/hr/php2shell/bin-ich-gehackt-anzeichen/).

## Skeneri zlonamjernog softvera za web-stranice: tri izvedbe

| Izvedba | Što vidi | Što ne vidi |
|---|---|---|
| Vanjski skener (internetska usluga) | isporučene stranice, uključene skripte, preusmjeravanja, popise blokiranih | datoteke, bazu podataka, račune, sve što se isporučuje samo pod uvjetima |
| Skener u CMS-u (dodatak ili proširenje) | datoteke u web-direktoriju, djelomično sadržaje baze podataka, usporedbu s jezgrenim datotekama | razinu sustava, cron poslove, SSH; radi u možda kompromitiranom sustavu |
| Skener na poslužitelju (temeljen na potpisima) | sve čitljive datoteke, i izvan web-direktorija | nepoznate i prikrivene obrasce, bazu podataka, račune, ponašanje |

Vanjski skeneri korisni su za prepoznavanje vidljivih posljedica, primjerice preusmjeravanja ili unosa na popisima blokiranih. No mnogi hakerski napadi svoje spam sadržaje ili preusmjeravanja isporučuju samo određenim posjetiteljima, na primjer tražilicama ili mobilnim uređajima. Skener tada vidi čistu stranicu.

Skeneri u CMS-u imaju više uvida, ali i načelan problem: rade u istom sustavu koji bi trebali provjeravati. Kod s dovoljnim pravima može utjecati na njihove rezultate, sakriti datoteke ili deaktivirati skener. Skeneri na poslužitelju rade izvan aplikacije, ali ostaju upućeni na obrasce.

## Što skeneri u načelu previđaju

Neovisno o izvedbi postoje područja koja skener datoteka ili stranica jedva može pokriti:

1. **Novi ili individualno prikriveni kod:** svaka varijanta koja izgleda drukčije od poznatih obrazaca prolazi.
2. **Baza podataka:** skripte u sadržajima, izmijenjene postavke, okidači i tuđi računi. Više o tome u članku [Provjera baze podataka na ubačeni kod](https://phpsos.de/hr/blog/datenbank-auf-schadcode-pruefen/).
3. **Pristupi:** dodatni administratorski računi, SSH ključevi, korisnici baze podataka, računi u hosting panelu.
4. **Sistemske usluge i cron poslovi:** mehanizmi koji redovito ponovno učitavaju zlonamjerni kod.
5. **Neupadljive izmjene legitimnih datoteka:** jedan jedini dodatni redak u jezgrenoj datoteci koji izgleda bezazleno.
6. **Procurjeli podaci:** jesu li pristupni podaci ili podaci kupaca kopirani, ne pokazuje nijedan skener.

## Što umjesto toga daje sigurnost

Veću sigurnost donosi kombinacija vrsta provjere koje rade različito:

- **Usporedba s originalom:** pronalazi svaku izmjenu poznatih datoteka, neovisno o obrascima. Postupak opisuje članak [Usporedba jezgrenih datoteka CMS-a s originalom](https://phpsos.de/hr/blog/cms-kerndateien-vergleichen/).
- **Ciljana potraga za neobičnostima:** PHP datoteke u mapama za prijenose, nedavno izmijenjene datoteke, prikriveni kod, izvršne datoteke u privremenim mapama.
- **Provjera računa i sistemskih usluga:** korisnike, ključeve, cron poslove i usluge usporediti s poznatim ispravnim stanjem.
- **Analiza zapisnika:** zahtjevi za nepoznate datoteke, nagomilavanje pogrešaka, neobične prijave.
- **Nadzor ponašanja:** procesi web-poslužitelja koji pokreću ljusku, neočekivane odlazne veze, nove datoteke u osjetljivim mapama.

Posljednja je kategorija najvažnija kad nema poznatih tragova. Ne pita kako izgleda zlonamjerni kod, nego što radi. Proces web-poslužitelja koji odjednom pokrene ljusku upada u oči, bez obzira na to koliko je prikriven kod koji ga je pokrenuo.

> **Savjet:**
> Skener na poslužitelju pokrenite s čistog sustava preko kopije zaštićene od pisanja, a ne na sumnjivom poslužitelju. Tako ubačeni kod ne može utjecati na rezultat.

## Kako skenere upotrijebiti smisleno

Skeneri imaju svoje mjesto, kao jedan alat među više njih. Vanjski skener prikladan je za redovitu kontrolu vidljivih posljedica, primjerice tjedno. Skener u CMS-u u svakodnevici javlja poznati zlonamjerni softver i izmijenjene jezgrene datoteke. Skener na poslužitelju dopunjuje potragu za poznatim obrascima u cijelom datotečnom sustavu.

Odlučujući je postupak s rezultatom. Nalaz je jasan zadatak za provjeru i opravdava potpunu istragu jer je rijetko pogođena samo jedna datoteka. Prazan rezultat, nasuprot tome, samo je izjava o provjerenim obrascima. U svojoj dokumentaciji zabilježite koji je skener kada pokrenut i s kojim stanjem te ne pišite „sustav čist“, nego „nisu pronađeni poznati obrasci“.

Za upravu to znači: zelena kvačica ne zamjenjuje provjeru koju provodi netko tko zajedno promatra datoteke, bazu podataka, račune i ponašanje. Nakon incidenta s mogućim izvršavanjem koda, kako je to kod PHP2Shella zamislivo, ta bi se provjera trebala provesti.

Ako skener, naprotiv, prijavi nalaz, potrebno je brzo, ali uredno postupanje. Prijavljenu datoteku ne brišite odmah funkcijom skenera. Najprije osigurajte datoteku i zapisnike kako bi se moglo razjasniti kako je dospjela na poslužitelj. Kako teče potpuno čišćenje, opisuje usluga [Uklanjanje zlonamjernog softvera i web shellova](https://phpsos.de/hr/leistungen/malware-entfernung/).

## Kako PHP SOS konkretno pomaže?

- Skenere kombiniramo s usporedbom s originalom, ciljanom potragom i analizom računa, usluga i zapisnika.
- Sumnjive sustave provjeravamo preko osiguranih kopija kako rezultate ne bi mogao utjecati kompromitirani sustav.
- Svaki rezultat iskreno označavamo kao dokazan, vjerojatan ili nepoznat.
- Uz [sigurnosni nadzor za web-poslužitelje](https://phpsos.de/hr/leistungen/security-monitoring/) trajno nadziremo ponašanje Vaših poslužitelja, a ne samo poznate obrasce.


## Česta pitanja

**Je li moja web-stranica čista ako skener zlonamjernog softvera ništa ne pronađe?**  
Nije nužno. Skeneri pronalaze ponajprije poznate obrasce. Novi ili dobro prikriveni kod, stražnja vrata u bazi podataka, tuđi računi, cron poslovi i SSH ključevi često ostaju neotkriveni. Prazan rezultat je jedan dio slagalice, a ne oslobađajuća presuda.

**Koja je razlika između vanjskog skenera i skenera u dodatku?**  
Vanjski skener poziva web-stranicu izvana i vidi samo ono što se isporučuje. Skener u dodatku radi unutar CMS-a i može čitati datoteke, ali radi u istom sustavu koji je možda kompromitiran. Oba imaju vlastite slijepe pjege.

**Postoje li potpisi skenera za PHP2Shell?**  
Za PHP2Shell nema objavljenih, potvrđenih Indicators of Compromise. Skeneri stoga ne mogu ciljano tražiti pouzdane tragove PHP2Shella. Otkrivanje se temelji na analizi ponašanja i na traženju općih znakova kompromitacije.

**Koji je skener najbolji?**  
Pitanje zavodi. Važnija od određenog proizvoda je kombinacija različitih vrsta provjere: usporedba s originalom, pretraga datoteka i baze podataka, provjera računa i sistemskih usluga te nadzor ponašanja.

## Izvori

- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [BSI (njemački Savezni ured za informacijsku sigurnost): napomene o IT sigurnosnim incidentima](https://www.bsi.bund.de/)
- [php.net: sigurnosne obavijesti](https://www.php.net/)