Röviden: Ha kártevőt akar eltávolíttatni a weboldaláról, az egyes fájlok törlése ritkán elég. Először rögzítjük a leletet, megkeressük a webshelleket, hátsó ajtókat és rejtett feladatokat, megbízható forrásokból újraépítünk, és lezárjuk a behatolási pontot. Csak ezután megbízható a tisztítás.
Miből ismeri fel a kártevőt a weboldalon
A kártékony kód a weboldalakon gyakran csak közvetve tűnik fel. Tipikus az idegen oldalakra irányuló átirányítás, a csak keresőmotoroknak vagy mobil eszközöknek látható spam-tartalom, a Google-figyelmeztetés a keresési találatban, az ügyfelek panaszai, vagy a tárhelyszolgáltató általi zárolás spamküldés miatt. A szerveren ismeretlen PHP-fájlok, új rendszergazdai fiókok, módosított .htaccess fájlok vagy megmagyarázhatatlan cron-feladatok jelennek meg.
A PHP2Shell után újabb aggodalom társul ehhez: a CVE-2026-109618 és a CVE-2026-109619 révén a támadók bejelentkezés nélkül futtathatnak kódot. Nincsenek közzétett, megerősített Indicators of Compromise; a felismerés viselkedéselemzésen alapul. Hogy a webshellek jellemzően hogyan néznek ki és hol vannak, azt a Webshellek felismerése és eltávolítása írja le.
Kártevő eltávolítása a weboldalról: miért fontosabb az alaposság a gyorsaságnál
A támadók ritkán csak egy fájlt hagynak hátra. Szokás több hátsó ajtót elhelyezni különböző helyeken: a feltöltési mappákban, a bővítményekben vagy sablonokban, a Must-Use-bővítményekben, az adatbázisban, a cron-feladatokban vagy további felhasználói fiókokban. Ha csak a legszembetűnőbb fájlt törlik, a kártékony kód visszatér.
Ugyanakkor a megfertőzött állapot bizonyíték. Aki elhamarkodottan tisztít, elveszti a lehetőséget annak megállapítására, hogy érintettek-e ügyféladatok. Ezért minden változtatás előtt mentést készítünk. Ez keveset vesz igénybe, és minden utat nyitva hagy Ön előtt, egy későbbi, a felügyeleti hatóságnak vagy a biztosítónak szóló bejelentést is.
Egy PHP- vagy CMS-frissítés nem távolítja el a már a szerveren lévő kártékony szoftvert. A megtisztított weboldal pedig újra megfertőződik, amíg a behatolási pont nyitva van.
Hol rejtőzik jellemzően a kártékony kód
Az alábbi helyeket minden tisztításnál ellenőrizzük, mert a gyakorlatban újra és újra érintettek:
| Hely | Tipikus lelet |
|---|---|
| Feltöltési mappák | ártalmatlannak tűnő nevű vagy képnek álcázott PHP-fájlok |
| Bővítmények, sablonok, modulok | további fájlok vagy módosított eredeti fájlok |
| Konfiguráció | bejuttatott sorok a .htaccess, .user.ini vagy belépési fájlokban |
| Adatbázis | idegen rendszergazdai fiókok, szkriptek tartalmakban vagy beállításokban |
| Rendszer | cron-feladatok, további SSH-kulcsok, felismerhető cél nélküli folyamatok |
| Gyorsítótárak és ideiglenes mappák | kártékony kód másolatai, amelyek a törlés után újra megjelennek |
Az összefüggés a lényeges: egyetlen lelet ritkán magyarázza az egész incidenst. Csak az összkép mutatja meg, hogyan járt el a támadó, és vitt-e magával hozzáférési adatokat.
Hogyan segít konkrétan a PHP SOS?
- Mentés: Másolatot készítünk a fájlokról, az adatbázisról és a naplókról a megfertőzött állapotban. Ez megmarad egy későbbi kiértékeléshez.
- Keresés: A programfájlokat összevetjük a gyártó eredeti fájljaival, a feltöltési mappákat futtatható kód szempontjából ellenőrizzük, átvizsgáljuk az adatbázist, a cron-feladatokat, a felhasználói fiókokat és a szerverkonfigurációt. WordPress-környezeteknél úgy járunk el, ahogy a Hátsó ajtók keresése WordPressben oldalon le van írva.
- Tisztítás: A magot, a bővítményeket és a sablonokat megbízható forrásokból telepítjük újra, ahelyett hogy a gyanús fájlokat egyenként foltoznánk. A saját tartalmakat és feltöltéseket külön vizsgáljuk, és csak azt vesszük át, ami kifogástalan.
- Az ok lezárása: Javítjuk a PHP-t és az alkalmazást, eltávolítjuk az idegen fiókokat, és kicseréljük az összes hozzáférési adatot és kulcsot, amelyet a támadó láthatott.
- Utóellenőrzés: A tisztítás után figyeljük a weboldalt az újabb változásokra, és támogatjuk Önt abban, hogy egy Google-figyelmeztetést a Search Console-on keresztül felülvizsgáltasson. Többet erről a Google-figyelmeztetés eltávolítása oldalon talál.
Adminisztrátoroknak egy veszélytelen első pillantás a nemrég módosított PHP-fájlokra:
# A webkönyvtár PHP-fájljai, amelyeket az elmúlt 10 napban módosítottak
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
Az eredmény jelzés, nem bizonyíték: a támadók módosíthatják az időbélyegeket.
Mit kap, és mire van szükségünk
Jelentést kap a megtalált kártékony összetevőkről és lelőhelyükről, a tisztítási intézkedésekről, a kicserélt hozzáférési adatok listájáról és a valószínű behatolási pontról. Eközben egyértelműen megkülönböztetjük, mi bizonyított, mi valószínű és mi ismeretlen.
Öntől a következőkre van szükségünk:
- hozzáférés a szerverhez vagy a tárhelypanelhez, a CMS-háttérrendszerhez és az adatbázishoz
- egy kapcsolattartó, aki jóváhagyhatja a jelszócseréket és a lekapcsolásokat
- információk az ügynökségről, fejlesztőről vagy tárhelyszolgáltatóról, valamint a rendszeren végzett saját módosításokról
- meglévő mentések dátummal, hogy megítélhessük, melyik állapot lehet tiszta
- hozzáférés a Google Search Console-hoz, ha figyelmeztetés látható
Amit nem ígérünk
Nem ígérjük, hogy minden hátsó ajtót biztosan megtalálunk minden rendszeren, ha hiányoznak a naplók, vagy a fertőzés régen történt. Tisztázatlan helyzetben egy friss szerveren végzett újraépítést javasolunk, amelyre csak ellenőrzött tartalmakat visznek át. Ez nagyobb munka, de gyakran megbízhatóbb út. Azt sem jósoljuk meg, mikor távolítja el a Google vagy más szolgáltatás a figyelmeztetést; ezt ezek a szolgáltatók döntik el.
Ha bíróság előtt is megálló módon tisztázni kell, mi történt pontosan és mely adatok érintettek, bevonjuk az IT-forenzikát szakosodott partnerekkel. Akut, még folyamatban lévő támadásnál a munka a feltört weboldal esetén nyújtott vészhelyzeti segítséggel kezdődik.
Gyakori kérdések
Elég egy kártevőkereső bővítmény a weboldalam megtisztításához?
A kereső az ismert mintákat találja meg, de nem minden hátsó ajtót. A webshellek gyakran elfedettek, képekben, gyorsítótárakban vagy az adatbázisban lapulnak, vagy cron-feladatként vannak rögzítve. A kereső segédeszköz, nem teljes körű tisztítás.
Visszaállíthatok egyszerűen egy régi mentést?
Csak ha biztos, hogy a mentés a behatolás előtt készült, és ha utána a behatolási pontot lezárják. Különben az oldal rövid ideig tiszta, majd ugyanazon az úton újra megfertőződik.
Miért bukkan fel a kártevő a törlés után újra és újra?
Többnyire van egy második hátsó ajtó, egy cron-feladat, egy manipulált rendszergazdai fiók, vagy a rés még nyitva van. A tisztítás csak akkor tartós, ha minden perzisztencia-mechanizmust megtaláltak, és az okot megszüntették.
Eltávolítja a PHP-frissítés a meglévő kártevőt?
Nem. A javítás lezárja a rést, de nem távolítja el a már bejuttatott kártékony szoftvert. Ez két külön munkalépés.