Trumpai: Jei Google, jūsų naršyklė, hostingo teikėjas ar klientas įspėja dėl jūsų svetainės, labai tikėtina, kad jūsų serveryje veikia svetimas kodas. Jei tai jus palietė, susisiekite dabar. Nuotoliu išsiaiškiname, kas pateikiama, išsaugome pėdsakus, pašaliname kenkėjišką kodą, uždarome prieigą ir lydime jus iki pakartotinio atrakinimo.
Dabar nieko netrinkite ir neįrenkite iš naujo. Prireikus perjunkite svetainę į priežiūros režimą, kad lankytojai būtų apsaugoti, ir palikite failus bei žurnalus nepakeistus. Pranešti apie avariją ir perimame nuo pirmos žinutės.
Ar tai jus palietė? Kaip pasireiškia kenkėjišką kodą platinanti svetainė
Svetainė, platinanti kenkėjišką programinę įrangą ar šlamštą, retai išsiduoda matomu gedimu. Dažniausiai pirmi pranešimą pateikia kiti. Tipiniai požymiai:
- Naršyklė prieš jūsų domeną rodo raudoną įspėjimo puslapį, pavyzdžiui, „Deceptive site ahead“ arba pranešimą apie kenksmingą programinę įrangą.
- Google Search Console yra saugumo pranešimas arba jūsų puslapis paieškos rezultatuose rodomas su priedu „Ši svetainė gali pakenkti jūsų kompiuteriui“.
- Lankytojai pasakoja apie iššokančius langus, netikėtus peradresavimus ar atsisiuntimus, pasireiškiančius tik mobiliuosiuose įrenginiuose arba tik paspaudus iš paieškos.
- Jūsų paieškos rezultatuose rodomi puslapiai, kurių niekada nesukūrėte, pavyzdžiui, vaistų ar lošimų reklama svetima kalba.
- Hostingo teikėjas rašo dėl piktnaudžiavimo, šlamšto siuntimo ar įtartinų išeinančių ryšių.
- Jūsų įmonės laiškai pas gavėją patenka į šlamštą arba grįžta daug pristatymo klaidų.
- Jūsų antivirusinė nieko nepraneša, bet skundai nesiliauja.
Keli iš šių punktų kartu stipriai rodo kompromitavimą. Pavienis požymis gali turėti ir nekenksmingą priežastį. Vis tiek verta leisti patikrinti, nes kiekviena diena su įspėjimo puslapiu kainuoja lankytojus, užklausas ir pasitikėjimą.
Ką daryti nedelsiant
- Apsaugokite lankytojus: perjunkite svetainę į priežiūros režimą arba paprašykite hostingo teikėjo ją laikinai užblokuoti, jei aktyviai pateikiamas kenkėjiškas kodas.
- Nieko netrinkite: nešalinkite failų, neatkurkite atsarginės kopijos, neįrenkite iš naujo ant senos būsenos, kol nieko neišsaugota.
- Saugokite žurnalus: paprašykite hostingo teikėjo neperrašyti prieigos ir klaidų protokolų.
- Surinkite pranešimus: padarykite įspėjimų ekrano nuotraukas, užsirašykite datą, laiką ir paveiktus adresus.
- Įvardykite prieigas: kas turi prieigą per CMS, FTP, SSH ar hostingo skydelį? Slaptažodžius keiskite tik pasitarę ir tik iš švaraus įrenginio.
- Informuokite viduje: vadovybė, duomenų apsaugos pareigūnas ir, jei yra polisas, draudikas turėtų žinoti.
- Prašymo Google dar nepateikite: patikra naudinga tik po išvalymo.
Kaip PHP SOS padeda konkrečiai?
- Įvertiname padėtį: išsiaiškiname, kokie įspėjimai yra, nuo kada ir kurios sistemos bei duomenys gali būti paveikti.
- Išsaugome ir uždarome: išsaugome failus, duomenų bazę ir žurnalus, kol dar niekas nepakeista. Po to užblokuojame įtartinas prieigas ir sustabdome kenkėjiško kodo pateikimą.
- Tikriname ir valome: lyginame failus su švaria būsena, ieškome webshell, užpakalinių durų ir įrašų duomenų bazėje ir juos pašaliname. Daugiau skyriuje Kenkėjiškos programinės įrangos ir webshell šalinimas.
- Sutvirtiname ir pateikiame ataskaitą: uždarome įsilaužimo kelią, tikriname PHP būseną ir dokumentuojame incidentą. Lydime jus panaikinant blokavimus ir įspėjimus.
Dirbame nuotoliu, be atvykimo, visoje Vokietijoje ir Europoje.
Kodėl įspėjimas dažnai sugrįžta
Kas pašalina tik matomus pėdsakus, gydo simptomą. Užpuolikai dažniausiai sukuria kelias prieigas: paslėptą PHP failą įkėlimų aplanke, pakeistą papildinį, papildomą administratoriaus paskyrą ar cron užduotį, kuri iš naujo atsisiunčia ištrintus failus. Jei sutvarkote tik tą svetainės dalį, kurią rodo naršyklė, po kelių dienų tas pats kenkėjiškas kodas vėl yra.
Be to, daug kenkėjų maskuoja savo elgseną. Jie kenkėjišką kodą pateikia tik lankytojams, atėjusiems per paieškos sistemą, arba tik mobiliesiems įrenginiams. Savininkas svetainę atidaro tiesiogiai ir nieko nemato. Kaip atsiranda tokie peradresavimai, aprašo straipsnis Svetainė peradresuoja į svetimus puslapius, o kodėl skaitytuvai čia pasiekia ribas, rasite skyriuje Kenkėjiškų programų skaitytuvų ribos.
Google įspėjimas ir šlamštas paieškos indekse
Jei Google jūsų svetainę pažymėjo kaip pavojingą, panaikinimas vyksta per Search Console. Ten prašote patikros, kai tik serveris įrodytai švarus. Kokie žingsniai tam prasmingi, aiškina vadovas Google įspėjimo pašalinimas. Jei užpuolikai papildomai sukūrė šlamšto puslapių jūsų vardu, jų pašalinimas iš indekso taip pat priklauso; nuorodų rasite skyriuje SEO šlamštas Google indekse.
Jei jūsų serveris siunčia šlamštą, dažniausiai buvo piktnaudžiauta forma, skriptu ar pašto paskyra. Tuomet verta pažvelgti į Serveris siunčia šlamštą, nes jūsų domeno ir IP adreso reputacija kenčia su kiekvienu kitu laišku.
Kaip pasireiškia webshell, skaitykite skyriuje Webshell atpažinimas. Nuo PHP2Shell atsiranda papildomas klausimas: atnaujinimas uždaro spragą, bet nepašalina jau esančios kenkėjiškos programinės įrangos. Tai vienodai galioja pagal BSI padėties vertinimą ir specializuotą spaudą.
Ką mums atsiųsti
- pranešimai pažodžiui arba kaip ekrano nuotrauka, su data
- paveikti adresai ir, jei žinoma, prieigos keliai (hostingo skydelis, SSH, CMS)
- agentūros, kūrėjų ir hostingo teikėjo, kurie pažįsta sistemą, pavadinimai
- žinios, kas paskutinį kartą keista: atnaujinimai, nauji papildiniai, nauji darbuotojai su prieiga
- duomenys apie atsargines kopijas ir jų amžių
- pasiekiamas asmuo, galintis priimti sprendimus
Nepilni duomenys nėra kliūtis. Paklausime to, ko trūksta.
Kodėl PHP SOS
Esame paslaugų teikėjas Made in Germany ir kartu su savo kibernetinių specialistų partnerių tinklu daugiau nei 25 metus specializuojamės IT saugumo srityje. Turite nuolatinį kontaktinį asmenį, dirbame nuotoliu ir dokumentuojame kiekvieną žingsnį, kad hostingo teikėjui, draudikui ir klientams turėtumėte įrodymus. Nežadame to, ko niekas negali pažadėti, ir atvirai sakome, kas įrodyta, tikėtina ar nežinoma. Teisinių konsultacijų neteikiame; klausimai dėl atsakomybės ir pranešimo pareigų skirti duomenų apsaugos pareigūnui ir teisininkui.
Ar tai jus palietė? Skambinkite. Padėsime.
Jei jūsų svetainė įspėja lankytojus, platina kenkėjišką kodą ar siunčia šlamštą, svarbi kiekviena diena, kai ji tokia lieka internete. Susisiekite dabar: skambinkite arba rašykite per WhatsApp. Perimame nuo pirmos žinutės ir pasiliekame, kol incidentas bus užbaigtas ir dokumentuotas. Pranešti apie avariją dabar
Dažni klausimai
Kodėl naršyklė rodo įspėjimą prieš mano svetainę?
Naršyklės remiasi žinomų pavojingų svetainių sąrašais. Jei jūsų domenas ten įrašytas, naršyklė užblokuoja atidarymą raudonu įspėjimo puslapiu. Dažniausiai už to slypi svetimas kodas serveryje, kuris peradresuoja lankytojus arba atsisiunčia kenkėjišką programinę įrangą.
Ar pakanka Google pranešti, kad įspėjimas išspręstas?
Ne. Google patikra naudinga tik tada, jei kenkėjiškas kodas prieš tai visiškai pašalintas ir įsilaužimo kelias uždarytas. Kitaip įspėjimas netrukus vėl pasirodo, o atmestas prašymas kainuoja laiko.
Mano antivirusinė nieko neranda, bet įspėjimas lieka. Kodėl?
Skaitytuvai pirmiausia atpažįsta žinomus šablonus. Kenkėjiškas kodas, pateikiamas tik tam tikriems lankytojams, paieškos sistemoms ar įrenginiams, dažnai lieka nepastebėtas. Tuomet padeda tik failų palyginimas su švaria būsena ir žurnalų analizė.
Kodėl mano įmonės laiškai staiga patenka į šlamšto aplanką?
Jei jūsų serveris ar paskyra buvo panaudoti šlamštui siųsti, krenta jūsų domeno ir IP adreso reputacija. Gavėjų serveriai tuomet jūsų laiškus laiko įtartinais. Reputaciją atkurti galima tik po išvalymo.
Ar galiu tiesiog išjungti savo svetainę?
Taip, o kai aktyviai pateikiamas kenkėjiškas kodas, tai dažnai prasminga, norint apsaugoti lankytojus. Tačiau nieko netrinkite. Žurnalai ir failai rodo, kaip užpuolikas pateko.