Server hackjat – x'għandi nagħmel? L-ewwel passi u għajnuna urġenti

Fil-qosor: Intom affettwati? Ċemplulna. Aħna ngħinu. Jekk issuspettaw li s-server tagħkom ġie hackjat, l-ewwel jgħodd ħaġa waħda: żamma tat-traċċi. Mill-ewwel messaġġ nieħdu f'idejna mill-bogħod l-istampa tas-sitwazzjoni, is-salvataġġ, il-konteniment, it-tindif u d-dokumentazzjoni, sakemm l-inċident jingħalaq.

Intom affettwati? Sinjali li server ġie hackjat

Suspett jibqa' biżżejjed biex tikkuntattjawna. Ma jridx ikollkom prova tal-attakk. Indikazzjonijiet tipiċi huma:

• Is-server tal-web jew PHP-FPM jibdew proċessi bħal sh jew bash. Dan huwa sinjal ta' twissija qawwi, li nispjegaw fil-paġna Is-server tal-web jibda shell.
• Fil-folders tal-upload, tal-cache jew temporanji jinsabu fajls ġodda jew mhux magħrufa tal-PHP.
• Hemm cronjobs li ħadd ma ħoloq, jew ċwievet SSH li ħadd ma jista' jassenja.
• It-tagħbija hija għolja mingħajr raġuni li tidher, jew is-server jibni konnessjonijiet ħerġin mhux tas-soltu.
• Il-mejls tas-server tagħkom jispiċċaw fl-ispam jew jiġu rrifjutati.
• Il-hoster, klijent jew twissija fil-browser jirrapportaw kodiċi malizzjuż.
• Fis-CMS jidhru kontijiet ta' amministratur li ħadd ma ħoloq.

Sinjali oħra issibu f'Jien diġà kompromess?. Jekk japplikaw diversi punti, ittrattaw is-server bħala hackjat sakemm ma jiġix ippruvat il-kuntrarju.

Server hackjat: x'għandkom tagħmlu minnufih

1. Żommu kalma u ibdlu xejn. Tħassru l-ebda fajl, l-ebda “rranġar malajr”, l-ebda installazzjoni ġdida fuq l-istat qadim.
2. Innotaw il-ħin. Iktbu x'osservajtu u meta, u min għamel l-aħħar bidliet fis-sistema.
3. Żommu l-logs. Il-logs tal-aċċess, tal-iżbalji u tas-sistema m'għandhomx jiġu rrotati jew mikutba fuqhom. Fil-każ ta' PHP2Shell l-istampa speċjalizzata tirrakkomanda li jinżammu l-logs tas-server mill-20/10/2026 'il quddiem.
4. Naqqsu l-wiċċ ta' attakk. Neħħu s-server min-netwerk pubbliku jew agħlquh b'firewall jekk id-data tista' tgħaddi 'l barra. Titfuhx sempliċement.
5. Ġabru l-aċċessi. Min għandu aċċess għal SSH, pannell, FTP, CMS u database? Ibdlu l-passwords biss wara li naqblu u biss minn apparat nadif.
6. Semmu persuna ta' kuntatt. Persuna b'awtorità li tiddeċiedi għandha tkun disponibbli, anke għat-twaqqif u r-restarts.
7. Ikkuntattjawna issa. Ċemplu jew iktbu fuq WhatsApp. Kull ħaġa oħra niċċaraw miegħekom pass pass.

Neħħuh min-netwerk jew inħalluh jaħdem?

Din hija l-aktar mistoqsija frekwenti fl-ewwel minuti, u ma għandhiex tweġiba ġenerali. Jekk jaħdem ħanut online b'pagamenti jew portal b'data tal-klijenti, ġeneralment tipprevali l-protezzjoni tad-data. Allura iżolament temporanju huwa t-tajjeb, pereżempju b'paġna ta' manutenzjoni jew b'regola tal-firewall li tħalli biss lill-amministraturi tagħkom.

Twaqqif f'daqqa, min-naħa l-oħra, rarament huwa l-aħjar ewwel pass, għax fil-memorja jinsabu traċċi li restart ifassal. Aħjar immaġni tas-sistema, pereżempju snapshot mal-hoster, qabel ma tinbidel xi ħaġa. Fis-sitwazzjoni ta' PHP2Shell il-BSI jirrakkomanda li s-servers tal-web jitneħħew temporanjament min-netwerk meta aġġornament ma jkunx possibbli minnufih. Dan ma jfissirx li kull server imqaffel ġie hackjat.

Jekk fil-każ tagħkom tiżolaw, tnaqqsu jew thallu jaħdem, niddeċiedu miegħekom abbażi ta' dak li hemm fis-sistema.

Terġgħu twaqqfuh jew tnaddfuh?

Ħafna jixtiequ jibnu s-server mill-ġdid mill-ewwel. Dan mhuwiex ħażin, imma biss wara s-salvataġġ. Inkella jibqa' mhux ċar kif daħal l-attakkant, u l-istess mod jibqa' miftuħ għas-sistema l-ġdida wkoll. Il-bilanċ jiddeskrivih il-paġna Terġgħu twaqqfu s-server jew tnaddfuh?, u s-salvataġġ qabel il-bini mill-ġdid il-paġna Isalvaw il-provi qabel terġgħu twaqqfu.

Importanti: aġġornament ta' PHP waħdu ma jsolvix il-problema. Jagħlaq il-vulnerabbiltà, imma ma jneħħix software malizzjuż li jkun diġà ddaħħal. Kif jinstabu t-traċċi fil-protokolli tispjegah Analiżi tal-logs tas-server tal-web wara attakk. U ipoteżu li l-kredenzjali minn fajls ta' konfigurazzjoni ntqraw ukoll: l-aċċessi għad-database, għall-posta u għall-API jmissu fil-lista tas-sigrieti li jridu jiġġeddu.

Kif tgħin PHP SOS b'mod konkret?

1. Niġbru s-sitwazzjoni: Niċċaraw miegħekom x'ġie osservat, liema sistemi jistgħu jkunu affettwati u liema data tinsab hemm.
2. Nisalvaw u nagħlqu: Nisalvaw il-fajls, id-database u l-logs qabel ma tinbidel xi ħaġa. Imbagħad niżolaw l-attakk u nagħlqu l-bieb tad-dħul, fil-każ ta' PHP2Shell b'patch u restart tal-proċessi kollha ta' PHP.
3. Nivverifikaw u ninnaddfu: Infittxu webshells, backdoors, cronjobs u aċċessi barranin u neħħuhom. Id-dettalji jinsabu f'Neħħi malware u webshells.
4. Insaħħu u nirrapportaw: Tirċievu dokumentazzjoni b'skeda taż-żmien, postijiet fejn instab xi ħaġa u rakkomandazzjonijiet. Jekk l-inċident jinfirex 'il barra minn server wieħed, ngħaddu għal Incident Response strutturat.

X'm'għandkomx tagħmlu

Fl-istress isiru żbalji li jistgħu jiġu evitati. Tħassru l-ebda fajl “suspettuż” fuq suspett mingħajr ma tkunu salvawh qabel. Eżegwixxu l-ebda kmand minn foruni li ma tifhmux. U tinstallawx plugins tas-sigurtà fuq server li jista' jkun diġà kompromess: il-kodiċi malizzjuż jista' jqarraq bl-iscanners, u r-riżultat jagħtikom sigurtà falza. Oqogħdu attenti wkoll għal pariri li jibblukkjaw it-talbiet kollha b'ID tas-sessjoni speċifiku; awturi speċjalizzati jirrifjutaw espliċitament parir bħal dan dwar PHP2Shell. Il-verżjoni tagħkom tistgħu tivverifikawha b'sigurtà b'php -v u b'ħarsa lejn il-changelog tal-pakkett tad-distribuzzjoni tagħkom, għax il-backports ta' spiss iħallu n-numru tal-verżjoni l-istess.

X'għandkom tibagħtu lilna

• deskrizzjoni qasira: x'qabad l-għajn, mil-liema żmien, x'ġie mibdul l-aħħar
• it-tip tas-sistema: server proprju, vServer, server ġestit jew pakkett ta' hosting
• l-aċċess permezz ta' SSH jew pannell jew il-permess li nitkellmu mal-hoster tagħkom
• indikazzjonijiet dwar backups eżistenti u l-età tagħhom
• messaġġi ta' twissija mill-hoster, mill-browser jew mill-klijenti kelma b'kelma

Jekk xi wħud minn dawn jonqsu, ikkuntattjawna xorta. In-nuqqasijiet nagħlquhom fil-konversazzjoni.

Għaliex PHP SOS

Naħdmu Made in Germany u, man-netwerk tas-sieħba tagħna ta' professjonisti taċ-ċibersigurtà, aħna speċjalizzati fis-sigurtà tal-IT għal aktar minn 25 sena. Ikollkom persuna waħda ta' kuntatt, naħdmu mill-bogħod, mingħajr vjaġġ, fil-Ġermanja kollha u fl-Ewropa. Kull pass jiġi ddokumentat, u niddistingwu b'mod miftuħ bejn dak li huwa ppruvat, probabbli u mhux magħruf. Wegħdiet li ħadd ma jista' jżomm ma nagħmlux. Ħarsa ġenerali lejn il-ħidma ta' wara hemm fil-Lista ta' kontroll wara hack, u l-għajnuna urġenti kollha taħt Websajt hackjata? Għajnuna urġenti mill-bogħod. Dwar l-obbligu ta' notifika f'każ ta' ksur tad-data aqraw ir-regola tat-72 siegħa; l-evalwazzjoni legali tibqa' għand l-uffiċjali tal-protezzjoni tad-data u l-avukati.

Intom affettwati? Ċemplulna. Aħna ngħinu.

Tistennewx sakemm is-suspett isir ħsara akbar. Nieħdu f'idejna mill-ewwel messaġġ u nibqgħu miegħekom sakemm l-inċident jingħalaq u jiġi ddokumentat. Irrapportaw emerġenza issa.

Mistoqsijiet frekwenti

Sorsi

• BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni
• GDPR Art. 33: Notifika lill-awtorità superviżorja
• OWASP Cheat Sheets