Ukratko: Ako Google, Vaš preglednik, Vaš pružatelj hostinga ili klijent upozoravaju na Vašu web-stranicu, na Vašem poslužitelju vrlo vjerojatno radi tuđi kod. Ako ste pogođeni, javite se odmah. Na daljinu razjašnjavamo što se isporučuje, osiguravamo tragove, uklanjamo zlonamjerni kod, zatvaramo pristup i pratimo Vas do ponovnog odobrenja.
Sada ništa ne brisati i ništa ne postavljati iznova. Stranicu po potrebi stavite u način održavanja kako bi posjetitelji bili zaštićeni, a datoteke i zapisnike ostavite nepromijenjenima. Prijavite hitni slučaj i preuzimamo od prve poruke.
Jeste li pogođeni? Ovako se očituje web-stranica koja širi malware
Web-stranica koja širi zlonamjerni softver ili spam rijetko se otkriva vidljivom greškom. Uglavnom se prvo javljaju drugi. Tipične naznake:
- Preglednik prije Vaše domene prikazuje crvenu stranicu upozorenja, primjerice „Deceptive site ahead“ ili poruku o štetnom softveru.
- U Google Search Consoleu stoji sigurnosna poruka ili se Vaša stranica u rezultatima pretraživanja pojavljuje s dodatkom „Ova web-stranica može oštetiti vaše računalo“.
- Posjetitelji javljaju skočne prozore, neočekivana preusmjeravanja ili preuzimanja koja se pojavljuju samo na mobilnim uređajima ili samo nakon klika iz pretraživanja.
- Vaši rezultati pretraživanja prikazuju stranice koje nikada niste izradili, primjerice oglase za lijekove ili kockanje na stranom jeziku.
- Vaš pružatelj hostinga piše zbog zlouporabe, slanja spama ili upadljivih odlaznih veza.
- E-pošta Vaše tvrtke kod primatelja završava u spamu ili se vraća neobično mnogo poruka o neuspjeloj isporuci.
- Vaš antivirusni skener ne javlja ništa, a pritužbe ipak ne prestaju.
Više tih točaka zajedno snažno upućuje na kompromitaciju. Pojedinačna naznaka može imati i bezazlen uzrok. Provjeru ipak dajte napraviti, jer svaki dan sa stranicom upozorenja stoji posjetitelja, upita i povjerenja.
Što učiniti odmah
- Zaštititi posjetitelje: Web-stranicu prebacite u način održavanja ili je pružatelj hostinga privremeno blokira ako se zlonamjerni kod aktivno isporučuje.
- Ništa ne brisati: Ne uklanjati datoteke, ne vraćati sigurnosnu kopiju, ne instalirati iznova preko starog stanja prije nego što se osigura.
- Sačuvati zapisnike: Zamolite pružatelja hostinga da ne prepisuje zapisnike pristupa i pogrešaka.
- Prikupiti poruke: Napravite snimke zaslona upozorenja, zabilježite datum, vrijeme i pogođene adrese.
- Imenovati pristupe: Tko ima pristup putem CMS-a, FTP-a, SSH-a ili hosting panela? Lozinke mijenjajte tek nakon dogovora i samo s čistog uređaja.
- Obavijestiti interno: Uprava, službenik za zaštitu podataka i, ako postoji polica, osiguratelj trebali bi biti upoznati.
- Zahtjev kod Googlea još ne podnositi: Ponovna provjera ima smisla tek nakon čišćenja.
Kako PHP SOS konkretno pomaže?
- Procijeniti situaciju: Razjašnjavamo koja upozorenja postoje, od kada i koji sustavi i podaci mogu biti pogođeni.
- Osigurati i zatvoriti: Osiguravamo datoteke, bazu podataka i zapisnike prije nego što se išta promijeni. Zatim blokiramo sumnjive pristupe i zaustavljamo isporuku zlonamjernog koda.
- Provjeriti i očistiti: Uspoređujemo datoteke s čistim stanjem, tražimo web shellove, stražnja vrata i unose u bazi podataka te ih uklanjamo. Više o tome na stranici Uklanjanje malwarea i web shellova.
- Ojačati i izvijestiti: Zatvaramo ulazna vrata, provjeravamo stanje PHP-a i dokumentiramo incident. Pratimo Vas pri ukidanju blokada i upozorenja.
Radimo na daljinu, bez dolaska, u cijeloj Njemačkoj i Europi.
Zašto se upozorenje često vraća
Tko uklanja samo vidljive tragove, liječi simptom. Napadači uglavnom postavljaju više pristupa: skrivenu PHP datoteku u mapi za prijenos, manipulirani dodatak, dodatni administratorski račun ili zakazani cron posao koji ponovno učitava obrisane datoteke. Ako očistite samo stranicu koju preglednik prikazuje, nekoliko dana poslije isti je zlonamjerni kod opet tu.
Tome se pridodaje da mnogi štetnici prikrivaju svoje ponašanje. Zlonamjerni kod isporučuju samo posjetiteljima koji dolaze preko tražilice ili samo mobilnim uređajima. Vlasnik stranicu otvara izravno i ne vidi ništa. Kako takva preusmjeravanja nastaju, opisuje članak Web-stranica preusmjerava na strane stranice, a zašto skeneri pritom nailaze na granice, piše na stranici Ograničenja skenera zlonamjernog softvera.
Googleovo upozorenje i spam u indeksu pretraživanja
Ako je Google Vašu stranicu označio kao opasnu, ukidanje ide putem Search Consolea. Tamo zahtjev za ponovnu provjeru podnosite čim je poslužitelj dokazivo čist. Koji su koraci za to smisleni, objašnjava savjetnik Uklanjanje Googleova upozorenja. Ako su napadači uz to izradili spam stranice u Vaše ime, njihovo uklanjanje iz indeksa također spada u to; napomene pronađite u SEO spam u Googleovu indeksu.
Ako Vaš poslužitelj šalje spam, uglavnom je zloupotrijebljen obrazac, skripta ili račun e-pošte. Tada se isplati pogledati Poslužitelj šalje spam, jer ugled Vaše domene i IP adrese pati sa svakom daljnjom porukom.
Kako se web shellovi pokazuju, pročitajte na stranici Prepoznavanje web shella. Od PHP2Shella dolazi dodatno pitanje: ažuriranje zatvara ranjivost, ali ne uklanja zlonamjerni softver koji je već tu. To jednako vrijedi prema BSI-jevoj procjeni stanja i stručnom tisku.
Što nam trebate poslati
- poruke u izvornom tekstu ili kao snimku zaslona, s datumom
- pogođene adrese i, ako su poznati, putove pristupa (hosting panel, SSH, CMS)
- imena agencije, programera i pružatelja hostinga koji poznaju sustav
- napomene što je zadnje mijenjano: ažuriranja, novi dodaci, novi zaposlenici s pristupom
- podatke o sigurnosnim kopijama i njihovoj starosti
- jednu osobu s ovlastima za odlučivanje koja je dostupna
Nepotpuni podaci nisu prepreka. Pitamo što nedostaje.
Zašto PHP SOS
Pružatelj smo usluga Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu stalnu kontakt osobu, radimo na daljinu i dokumentiramo svaki korak, tako da prema pružatelju hostinga, osiguratelju i klijentima imate dokaze u ruci. Ne obećavamo ništa što nitko ne može ispuniti i otvoreno kažemo što je dokazano, vjerojatno ili nepoznato. Pravni savjet ne pružamo; pitanja o odgovornosti i obvezama prijave pripadaju službeniku za zaštitu podataka i odvjetniku.
Jeste li pogođeni? Nazovite. Pomažemo.
Ako Vaša web-stranica upozorava posjetitelje, isporučuje zlonamjerni kod ili šalje spam, računa se svaki dan dok je tako na mreži. Javite se odmah: nazovite ili pišite putem WhatsAppa. Preuzimamo od prve poruke i ostajemo uz Vas dok incident nije zaključen i dokumentiran. Prijavite hitni slučaj odmah
Česta pitanja
Zašto preglednik prikazuje upozorenje o mojoj web-stranici?
Preglednici se oslanjaju na popise poznatih opasnih stranica. Ako je Vaša domena na njima, preglednik blokira pristup crvenom stranicom upozorenja. Uglavnom iza toga stoji tuđi kod na poslužitelju koji preusmjerava posjetitelje ili naknadno učitava zlonamjerni softver.
Je li dovoljno kod Googlea prijaviti da je upozorenje riješeno?
Ne. Ponovna provjera kod Googlea ima smisla samo ako je zlonamjerni kod prethodno potpuno uklonjen, a ulazna vrata zatvorena. Inače se upozorenje ubrzo ponovno pojavljuje, a odbijen zahtjev stoji vremena.
Moj antivirusni skener ne nalazi ništa, a upozorenje ostaje. Zašto?
Skeneri prije svega prepoznaju poznate uzorke. Zlonamjerni kod koji se isporučuje samo određenim posjetiteljima, tražilicama ili uređajima često ostaje neotkriven. Tada pomaže samo usporedba datoteka s čistim stanjem i analiza zapisnika.
Zašto e-pošta moje tvrtke iznenada završava u mapi za spam?
Ako je Vaš poslužitelj ili račun zloupotrijebljen za slanje spama, ugled Vaše domene i IP adrese pada. Poslužitelji primatelja tada Vašu e-poštu ocjenjuju kao sumnjivu. Ugled se može ponovno graditi tek nakon čišćenja.
Mogu li web-stranicu jednostavno isključiti?
Da, a kod aktivne isporuke zlonamjernog koda to je često smisleno kako bi se posjetitelji zaštitili. Pritom ipak ništa ne brišite. Zapisnici i datoteke pokazuju kako je napadač ušao.