Röviden: Ha a Google, a böngészője, a tárhelyszolgáltatója vagy egy ügyfél figyelmeztet a weboldalára, nagyon valószínű, hogy idegen kód fut a szerverén. Ha érintett, jelentkezzen most. Távolról tisztázzuk, mit szolgálnak ki, mentjük a nyomokat, eltávolítjuk a kártékony kódot, lezárjuk a hozzáférést, és kísérjük az újbóli engedélyezésig.
Most ne töröljön semmit, és ne telepítsen újra semmit. Szükség esetén állítsa karbantartási módba az oldalt, hogy a látogatók védve legyenek, a fájlokat és a naplókat pedig hagyja változatlanul. Vészhelyzet bejelentése, és az első üzenettől átvesszük az ügyet.
Érintett? Így mutatkozik egy kártevőt terjesztő weboldal
Egy kártékony szoftvert vagy spamet terjesztő weboldal ritkán tűnik fel látható hibával. Többnyire először mások jelentkeznek. Tipikus jelek:
- A böngésző piros figyelmeztető oldalt jelenít meg a domainje előtt, például „Deceptive site ahead” vagy egy kártékony szoftverről szóló üzenetet.
- A Google Search Console-ban biztonsági üzenet áll, vagy az oldala a keresési találatokban a „Ez a weboldal károsíthatja a számítógépét” kiegészítéssel jelenik meg.
- A látogatók felugró ablakokról, váratlan átirányításokról vagy letöltésekről számolnak be, amelyek csak mobileszközökön vagy csak a keresésből érkező kattintás után jelentkeznek.
- A keresési találatai olyan oldalakat mutatnak, amelyeket sosem hozott létre, például idegen nyelvű gyógyszer- vagy szerencsejáték-reklámokat.
- A tárhelyszolgáltatója visszaélés, spamküldés vagy feltűnő kimenő kapcsolatok miatt ír.
- A cége levelei a címzettnél a spambe kerülnek, vagy feltűnően sok kézbesítési hiba érkezik vissza.
- A vírusirtója nem jelez semmit, a panaszok mégsem szűnnek meg.
Ezek közül több együtt erősen kompromittálódásra utal. Egyetlen jelnek ártalmatlan oka is lehet. Ellenőriztesse mégis, mert minden figyelmeztető oldallal töltött nap látogatókba, megkeresésekbe és bizalomba kerül.
Mit tegyen azonnal
- Védje a látogatókat: Kapcsolja karbantartási módba a weboldalt, vagy kérje meg a tárhelyszolgáltatót, hogy átmenetileg tiltsa le, ha kártékony kódot aktívan kiszolgálnak.
- Ne töröljön semmit: Ne távolítson el fájlokat, ne állítson vissza mentést, ne telepítsen újra a régi állapot fölé, mielőtt a mentés megtörtént.
- Őrizze meg a naplókat: Kérje meg a tárhelyszolgáltatóját, hogy a hozzáférési és hibanaplókat ne írja felül.
- Gyűjtse a jelzéseket: Készítsen képernyőképeket a figyelmeztetésekről, jegyezze fel a dátumot, az időpontot és az érintett címeket.
- Nevezze meg a hozzáféréseket: Kinek van hozzáférése a CMS-en, FTP-n, SSH-n vagy a tárhelypanelen keresztül? A jelszavakat csak egyeztetés után, és csak egy tiszta eszközről módosítsa.
- Tájékoztassa a belső szerveket: A vezetésnek, az adatvédelmi felelősnek és meglévő kötvény esetén a biztosítónak tudnia kell róla.
- A Google-nél még ne kérjen felülvizsgálatot: A felülvizsgálat csak a tisztítás után ér valamit.
Hogyan segít konkrétan a PHP SOS?
- Helyzetfelmérés: Tisztázzuk, milyen figyelmeztetések vannak, mióta, és mely rendszerek és adatok lehetnek érintettek.
- Mentés és lezárás: Mentjük a fájlokat, az adatbázist és a naplókat, mielőtt bármi megváltozna. Utána letiltjuk a gyanús hozzáféréseket, és leállítjuk a kártékony kód kiszolgálását.
- Vizsgálat és tisztítás: Összevetjük a fájlokat egy tiszta állapottal, webshelleket, hátsó ajtókat és adatbázis-bejegyzéseket keresünk, és eltávolítjuk őket. Többet erről itt talál: Kártevők és webshellek eltávolíttatása.
- Keményítés és jelentés: Lezárjuk a bejáratot, ellenőrizzük a PHP állapotát, és dokumentáljuk az incidenst. Kísérjük a tiltások és figyelmeztetések feloldásánál.
Távolról dolgozunk, kiszállás nélkül, egész Németországban és Európában.
Miért tér vissza gyakran a figyelmeztetés
Aki csak a látható nyomokat szünteti meg, a tünetet kezeli. A támadók többnyire több hozzáférést hoznak létre: egy rejtett PHP-fájlt egy feltöltési mappában, egy manipulált bővítményt, egy további rendszergazdai fiókot vagy egy ütemezett cron-feladatot, amely a törölt fájlokat újra letölti. Ha csak azt az oldalt takarítja ki, amelyet a böngésző mutat, néhány nap múlva ugyanaz a kártékony kód újra ott van.
Ehhez jön, hogy sok kártevő álcázza a viselkedését. A kártékony kódot csak azoknak a látogatóknak szolgálja ki, akik keresőmotoron keresztül érkeznek, vagy csak mobileszközöknek. A tulajdonos közvetlenül hívja meg az oldalt, és nem lát semmit. Hogyan keletkeznek az ilyen átirányítások, azt a A weboldal idegen oldalakra irányít át cikk írja le, hogy a keresők miért érnek itt határt, azt pedig a A kártevőkeresők korlátai oldalon találja.
Google-figyelmeztetés és spam a keresőindexben
Ha a Google veszélyesnek jelölte az oldalát, a feloldás a Search Console-on keresztül zajlik. Ott kérhet felülvizsgálatot, amint a szerver igazoltan tiszta. Hogy mely lépések célszerűek ehhez, azt a Google-figyelmeztetés eltávolítása útmutató magyarázza. Ha a támadók ezenfelül spam-oldalakat hoztak létre az Ön nevében, azok indexből való eltávolítása is hozzátartozik; tudnivalókat a SEO-spam a Google-indexben oldalon talál.
Ha a szervere spamet küld, többnyire egy űrlapot, egy szkriptet vagy egy levelezési fiókot használtak vissza. Ilyenkor érdemes megnézni a A szerver spamet küld oldalt, mert a domainje és az IP-címe hírneve minden további levéllel romlik.
A webshellek megjelenéséről a Webshell felismerése oldalon olvashat. A PHP2Shell óta egy további kérdés is felmerül: a frissítés lezárja a rést, de nem távolítja el a már ott lévő kártékony szoftvert. Ez a BSI helyzetértékelése és a szakmai sajtó szerint egyaránt érvényes.
Mit érdemes elküldenie nekünk
- a jelzéseket szó szerint vagy képernyőképként, dátummal
- az érintett címeket és, ha ismertek, a hozzáférési utakat (tárhelypanel, SSH, CMS)
- az ügynökség, a fejlesztők és a tárhelyszolgáltató nevét, akik ismerik a rendszert
- utalásokat arra, mit módosítottak utoljára: frissítések, új bővítmények, új munkatársak hozzáféréssel
- adatokat a mentésekről és azok koráról
- egy elérhető, döntési jogkörrel rendelkező személyt
A hiányos adatok nem akadályok. Rákérdezünk, ami hiányzik.
Miért a PHP SOS
Made in Germany szolgáltató vagyunk, és a kiberbiztonsági szakemberekből álló partnerhálózatunkkal több mint 25 éve az informatikai biztonságra szakosodtunk. Állandó kapcsolattartója van, távolról dolgozunk, és minden lépést dokumentálunk, hogy a tárhelyszolgáltató, a biztosító és az ügyfelek felé igazolások legyenek a kezében. Nem ígérünk semmit, amit senki sem tarthat be, és nyíltan megmondjuk, mi bizonyított, valószínű vagy ismeretlen. Jogi tanácsadást nem nyújtunk; a felelősséggel és a bejelentési kötelezettségekkel kapcsolatos kérdések az adatvédelmi felelőshöz és az ügyvédhez tartoznak.
Érintett? Hívjon minket. Segítünk.
Ha a weboldala figyelmezteti a látogatókat, kártékony kódot szolgál ki vagy spamet küld, minden nap számít, amíg így van fenn a hálózaton. Jelentkezzen most: hívjon minket, vagy írjon WhatsAppon. Az első üzenettől átvesszük az ügyet, és addig maradunk, amíg az incidens le nem zárul, és dokumentált nem lesz. Vészhelyzet bejelentése most
Gyakori kérdések
Miért jelenít meg a böngésző figyelmeztetést a weboldalamról?
A böngészők ismert veszélyes oldalak listáira támaszkodnak. Ha az Ön domainje szerepel ott, a böngésző piros figyelmeztető oldallal blokkolja a megnyitást. Többnyire idegen kód van mögötte a szerveren, amely átirányítja a látogatókat, vagy kártékony szoftvert tölt utána.
Elég, ha a Google-nél késznek jelzem a figyelmeztetést?
Nem. A Google-nél kért felülvizsgálat csak akkor ér valamit, ha a kártékony kódot előtte teljesen eltávolították, és a bejáratot lezárták. Különben a figyelmeztetés rövid időn belül újra megjelenik, és az elutasított kérelem időbe kerül.
A vírusirtóm nem talál semmit, a figyelmeztetés mégis marad. Mi ennek az oka?
A keresők főleg az ismert mintákat ismerik fel. Az a kártékony kód, amelyet csak bizonyos látogatóknak, keresőmotoroknak vagy eszközöknek szolgálnak ki, gyakran észrevétlen marad. Ilyenkor csak a fájlok egy tiszta állapottal való összevetése és a naplók értékelése segít.
Miért kerülnek a cégem levelei hirtelen a spam mappába?
Ha a szerverét vagy a fiókját spamküldésre használták fel, a domainje és az IP-címe hírneve romlik. A fogadó szerverek ilyenkor gyanúsnak minősítik a leveleit. A hírnév csak a tisztítás után építhető újra.
Egyszerűen offline-ra tehetem a weboldalamat?
Igen, és aktív kártékonykód-kiszolgálásnál ez gyakran értelmes a látogatók védelmében. Közben azonban ne töröljön semmit. A naplók és a fájlok megmutatják, hogyan jutott be a támadó.