Kort gezegd: Waarschuwt Google, uw browser, uw hoster of een klant voor uw website, dan draait er zeer waarschijnlijk vreemde code op uw server. Bent u getroffen, neem dan nu contact op. Wij stellen op afstand vast wat er wordt geleverd, zetten de sporen veilig, verwijderen de schadelijke code, sluiten de toegang en begeleiden u tot de nieuwe vrijgave.
Verwijder nu niets en zet niets opnieuw op. Zet de site zo nodig in onderhoudsmodus, zodat bezoekers beschermd zijn, en laat bestanden en logboeken ongewijzigd. Meld uw noodgeval en wij nemen het over vanaf het eerste bericht.
Bent u getroffen? Zo uit zich een website die malware verspreidt
Een website die schadelijke software of spam verspreidt, valt zelden op door een zichtbaar defect. Meestal melden eerst anderen zich. Typische aanwijzingen:
- De browser toont vóór uw domein een rode waarschuwingspagina, bijvoorbeeld „Deceptive site ahead” of een melding over schadelijke software.
- In de Google Search Console staat een beveiligingsmelding, of uw pagina verschijnt in de zoekresultaten met de toevoeging „Deze website kan uw computer beschadigen”.
- Bezoekers melden pop-ups, onverwachte doorverwijzingen of downloads die alleen op mobiele apparaten of alleen na een klik vanuit de zoekresultaten optreden.
- Uw zoekresultaten tonen pagina's die u nooit hebt aangemaakt, bijvoorbeeld reclame voor medicijnen of gokken in een vreemde taal.
- Uw hoster schrijft vanwege misbruik, spamverzending of opvallende uitgaande verbindingen.
- E-mails van uw bedrijf belanden bij de ontvanger in de spam, of er komen opvallend veel bezorgfouten terug.
- Uw virusscanner meldt niets, maar de klachten houden toch niet op.
Meerdere van deze punten samen wijzen sterk op een compromittering. Eén enkele aanwijzing kan ook een onschuldige oorzaak hebben. Laat het toch controleren, want elke dag met een waarschuwingspagina kost bezoekers, aanvragen en vertrouwen.
Wat u nu direct doet
- Bescherm bezoekers: Zet de website in onderhoudsmodus of laat haar tijdelijk door de hoster blokkeren als er actief schadelijke code wordt geleverd.
- Verwijder niets: Geen bestanden verwijderen, geen back-up terugzetten, geen nieuwe installatie over de oude toestand heen, voordat er een kopie is gemaakt.
- Bewaar de logboeken: Vraag uw hoster toegangs- en foutlogboeken niet te overschrijven.
- Verzamel de meldingen: Maak schermafbeeldingen van de waarschuwingen, noteer datum, tijd en getroffen adressen.
- Benoem de toegangen: Wie heeft toegang via CMS, FTP, SSH of hostingpaneel? Wijzig wachtwoorden pas na overleg en alleen vanaf een schoon apparaat.
- Informeer intern: Directie, functionaris voor gegevensbescherming en bij een bestaande polis de verzekeraar moeten op de hoogte zijn.
- Dien nog geen aanvraag in bij Google: Een herbeoordeling heeft pas zin na het opschonen.
Hoe helpt PHP SOS concreet?
- Situatie opnemen: Wij stellen vast welke waarschuwingen er zijn, sinds wanneer, en welke systemen en gegevens getroffen kunnen zijn.
- Veiligstellen en dichten: Wij zetten bestanden, database en logboeken veilig voordat er iets wordt gewijzigd. Daarna blokkeren we verdachte toegangen en stoppen we de levering van de schadelijke code.
- Controleren en opschonen: Wij vergelijken de bestanden met een schone toestand, zoeken webshells, achterdeuren en vermeldingen in de database en verwijderen ze. Meer daarover onder Malware en webshells laten verwijderen.
- Beveiligen en rapporteren: Wij sluiten de toegangsdeur, controleren de PHP-status en documenteren het incident. Wij begeleiden u bij het opheffen van blokkades en waarschuwingen.
Wij werken op afstand, zonder reistijd, in heel Duitsland en Europa.
Waarom de waarschuwing vaak terugkomt
Wie alleen zichtbare sporen wegneemt, behandelt het symptoom. Aanvallers leggen meestal meerdere toegangen aan: een verborgen PHP-bestand in een uploadmap, een gemanipuleerde plugin, een extra beheerdersaccount of een geplande cronjob die verwijderde bestanden nalaadt. Ruimt u alleen de pagina op die de browser toont, dan is dezelfde schadelijke code enkele dagen later terug.
Daar komt bij dat veel schadelijke programma's hun gedrag camoufleren. Ze leveren schadelijke code alleen aan bezoekers die via een zoekmachine komen, of alleen aan mobiele apparaten. De eigenaar opent de pagina rechtstreeks en ziet niets. Hoe zulke doorverwijzingen ontstaan, beschrijft het artikel Website stuurt door naar vreemde sites, en waarom scanners daarbij aan hun grenzen komen, staat onder Grenzen van malwarescanners.
Google-waarschuwing en spam in de zoekindex
Heeft Google uw site als gevaarlijk gemarkeerd, dan loopt het opheffen via de Search Console. Daar vraagt u een herbeoordeling aan zodra de server aantoonbaar schoon is. Welke stappen daarvoor zinvol zijn, legt de gids Google-waarschuwing verwijderen uit. Hebben aanvallers bovendien spampagina's in uw naam gemaakt, dan hoort het verwijderen daarvan uit de index erbij; aanwijzingen vindt u in SEO-spam in de Google-index.
Verstuurt uw server spam, dan is meestal een formulier, een script of een e-mailaccount misbruikt. Kijk dan naar Server verstuurt spam, want de reputatie van uw domein en IP-adres lijdt onder elke volgende e-mail.
Hoe webshells zich tonen, leest u onder Webshell herkennen. Sinds PHP2Shell is er een extra vraag: een update dicht het lek, maar verwijdert geen schadelijke software die er al is. Dat geldt volgens de BSI-beoordeling en de vakpers in gelijke mate.
Wat u ons het best kunt sturen
- de meldingen in de letterlijke tekst of als schermafbeelding, met datum
- de getroffen adressen en, indien bekend, de toegangswegen (hostingpaneel, SSH, CMS)
- namen van bureau, ontwikkelaars en hoster die het systeem kennen
- aanwijzingen wat er het laatst is gewijzigd: updates, nieuwe plugins, nieuwe medewerkers met toegang
- gegevens over back-ups en hun leeftijd
- een bereikbare persoon met beslissingsbevoegdheid
Onvolledige gegevens vormen geen belemmering. Wij vragen na wat er ontbreekt.
Waarom PHP SOS
Wij zijn een dienstverlener Made in Germany en met ons partnernetwerk van cyberprofessionals al meer dan 25 jaar gespecialiseerd in IT-beveiliging. U hebt een vast aanspreekpunt, wij werken op afstand en documenteren elke stap, zodat u tegenover hoster, verzekeraar en klanten bewijzen in handen hebt. Wij beloven niets wat niemand kan waarmaken en zeggen openlijk wat aangetoond, waarschijnlijk of onbekend is. Rechtsadvies geven wij niet; vragen over aansprakelijkheid en meldplichten horen bij de functionaris voor gegevensbescherming en de advocaat.
Bent u getroffen? Bel ons. Wij helpen.
Waarschuwt uw website bezoekers, levert ze schadelijke code of verstuurt ze spam, dan telt elke dag dat ze zo online staat. Neem nu contact op: bel ons of stuur een bericht via WhatsApp. Wij nemen het over vanaf het eerste bericht en blijven erbij tot het incident is afgerond en gedocumenteerd. Meld nu uw noodgeval
Veelgestelde vragen
Waarom toont de browser een waarschuwing voor mijn website?
Browsers raadplegen lijsten van bekende gevaarlijke sites. Staat uw domein daarop, dan blokkeert de browser de toegang met een rode waarschuwingspagina. Meestal zit er vreemde code op de server achter die bezoekers doorstuurt of schadelijke software nalaadt.
Is het genoeg om de waarschuwing bij Google als afgehandeld te melden?
Nee. Een herbeoordeling bij Google heeft pas zin als de schadelijke code eerst volledig is verwijderd en de toegangsdeur is gesloten. Anders verschijnt de waarschuwing kort daarna opnieuw, en een afgewezen aanvraag kost tijd.
Mijn virusscanner vindt niets, maar de waarschuwing blijft. Waar ligt dat aan?
Scanners herkennen vooral bekende patronen. Schadelijke code die alleen aan bepaalde bezoekers, zoekmachines of apparaten wordt geleverd, blijft vaak onopgemerkt. Dan helpt alleen een vergelijking van de bestanden met een schone toestand en de analyse van de logboeken.
Waarom belanden e-mails van mijn bedrijf plotseling in de spammap?
Als uw server of account is misbruikt voor het versturen van spam, daalt de reputatie van uw domein en IP-adres. Servers van ontvangers stempelen uw e-mails dan als verdacht. Pas na het opschonen kan de reputatie weer worden opgebouwd.
Kan ik mijn website gewoon offline halen?
Ja, en bij actieve levering van schadelijke code is dat vaak verstandig om bezoekers te beschermen. Verwijder daarbij echter niets. Logboeken en bestanden laten zien hoe de aanvaller binnenkwam.