Krótko: Jeśli hostingodawca zablokował stronę, jest to zwykle wskazówka na złośliwy kod lub nadużycie, ale może też być ostrożność. Odblokowanie następuje z reguły dopiero po usunięciu przyczyny. Czy są Państwo dotknięci? Proszę zgłosić się od razu. Wyjaśniamy zdalnie sytuację, czyścimy konto i uzgadniamy odblokowanie z Państwa hostingodawcą.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Także nie na wezwanie hostingodawcy. Ślady, logi i pliki muszą zostać zachowane, dopóki wszystko nie zostanie zabezpieczone. Proszę zadzwonić lub napisać na WhatsApp albo skorzystać z Zgłoś awarię.
Czy Państwa strona została zablokowana?
Blokada objawia się bardzo różnie:
- strona jest niedostępna lub pokazuje stronę informacyjną hostingodawcy
- wiadomość e-mail lub zgłoszenie wymienia „malware”, „abuse”, „phishing” lub „spam”
- panel hostingu jest zablokowany, FTP i poczta nie działają
- wyłączone są tylko niektóre funkcje, na przykład wykonywanie PHP lub wysyłanie poczty
- strona działa, ale hostingodawca żąda w określonym terminie podjęcia działań
Proszę dokładnie przeczytać komunikat: często znajdują się w nim nazwy plików, czasy lub informacje ważne dla analizy. Kogo wyłączono prewencyjnie, poznaje to zwykle po tym, że hostingodawca nie wskazuje żadnego konkretnego pliku. Także tu pozostaje sprawdzenie, ponieważ samo wyłączenie nie dowodzi ani zainfekowania, ani jego braku.
Co należy zrobić teraz
- Zabezpieczyć komunikat hostingodawcy: zachować e-mail, zgłoszenie i zrzut ekranu z datą. Jaki termin podano?
- Nie czyścić na własną rękę. Kto usuwa pliki lub wgrywa je od nowa, może zniszczyć ślady i ryzykuje ponowną blokadę.
- Uprzejmie poprosić hostingodawcę o: wskazanie miejsc znalezisk, zachowanie logów z danego okresu, zachowanie dostępu w trybie odczytu lub eksportu kopii zapasowej. Wzór zapytania znajdą Państwo w artykule Jak zapytać hostingodawcę o stan poprawek.
- Sprawdzić wysyłanie poczty: jeśli z serwera wychodził spam, blokady w przeciwnym razie się utrzymają. Wskazówki co do przyczyny daje artykuł Serwer rozsyła spam.
- Zanotować dostępy: panel, FTP, SSH, baza danych, zaplecze CMS. Hasła zmieniać dopiero po uzgodnieniu.
- Wyjaśnić skutki biznesowe: czy dostępność strony lub poczty jest dla Państwa działalności krytyczna? Wtedy proszę nam to od razu powiedzieć.
- Zgłosić się do nas, zanim miną terminy lub zmienią Państwo hostingodawcę.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: Czytamy komunikat hostingodawcy, wyjaśniamy konto, zakres i systemy oraz omawiamy, które funkcje są jeszcze dostępne.
- Zabezpieczenie i powstrzymanie: W zakresie, w jakim hostingodawca udziela dostępu, zabezpieczamy pliki, bazę danych i logi oraz odcinamy dostępy, które nie są już godne zaufania.
- Sprawdzenie i oczyszczenie: Szukamy webshelli, zmanipulowanych plików, obcych kont i mechanizmów doładowujących złośliwy kod. Przebieg odpowiada usłudze Usuwanie malware i webshelli.
- Zamknięcie wejścia i dowód: Wyjaśniamy, jak atakujący się dostał, i zamykamy lukę. Następnie sporządzamy zrozumiały opis, który mogą Państwo przekazać hostingodawcy do odblokowania.
- Uzgodnienie i wzmocnienie: Rozmawiamy, jeśli Państwo na to zezwolą, z Państwa hostingodawcą, towarzyszymy przy odblokowaniu i dajemy zalecenia na stałą pracę.
Jak postępujemy w ogólnym przypadku incydentu, opisuje strona Strona zhakowana: pomoc awaryjna.
Kto odpowiada za zablokowane strony?
W hostingu współdzielonym hostingodawca kontroluje serwer i PHP, a Państwo kontrolują swoje pliki i aplikacje. To, że hostingodawca reaguje na PHP2Shell, nie oznacza, że Państwa strona jest czysta. I odwrotnie: nie zwalnia to hostingodawcy z jego własnych obowiązków. Podział opisuje artykuł Hosting współdzielony: co robi hostingodawca, a co muszą zrobić Państwo. Po blokadzie warto zapytać, jaka wersja PHP faktycznie działa i czy stan poprawek jest potwierdzony. Nie wypowiadamy się o tym, jak daleko zaktualizował system dany hostingodawca. To musi on sam potwierdzić na piśmie.
Zmiana może być sensowna, ale dopiero po oczyszczeniu, a nie jako ucieczka, zob. Zmiana hostingodawcy po incydencie. Jeśli także Google oznaczyło stronę, drogę po tym opisuje artykuł Usunięcie ostrzeżenia Google. To, że organizacje prewencyjnie odłączają swoje strony od sieci, jest znanym wzorcem; czego mogą się z tego nauczyć firmy, opisuje artykuł Urzędy odłączają strony od sieci.
Czego hostingodawcy zwykle oczekują przy odblokowaniu
Każdy hostingodawca postępuje inaczej, ale oczekiwania są podobne: mają Państwo wykazać, że zrozumieli i usunęli przyczynę, a nie tylko objaw. Zwykle są to krótki opis znalezisk, potwierdzenie, że złośliwy kod usunięto i zmieniono dane dostępowe, oraz informacja, jakie oprogramowanie zaktualizowano. Niektórzy dostawcy sami sprawdzają potem konto, inni żądają kolejnego zgłoszenia. Przygotowujemy te dokumenty tak, aby mogli je Państwo przekazać bez wiedzy fachowej. Jakie zapewnienia składa Państwa hostingodawca i jak szybko reaguje, decyduje on sam; nie mamy na to wpływu i mówimy to otwarcie.
Co warto nam przesłać
- komunikat hostingodawcy w brzmieniu dosłownym, z datą i podanym terminem
- nazwę hostingodawcy, taryfę oraz, jeśli znana, wersję PHP
- adres strony i inne strony na tym samym koncie
- które funkcje są zablokowane (strona, poczta, panel, FTP)
- kontakt do agencji lub programisty, jeśli istnieje
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową, która prowadzi sprawę i jest osiągalna dla pytań ze strony Państwa hostingodawcy. Pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie. Wszystko jest dokumentowane; nie składamy obietnic co do czasu trwania, ponieważ zależy on od hostingodawcy i ustaleń. Pracujemy, aż incydent zostanie zakończony i udokumentowany.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Blokada jest uciążliwa, ale stanowi wyraźny powód do działania. Proszę zgłosić się teraz, telefonicznie lub przez WhatsApp, a przejmiemy sprawę od pierwszej wiadomości. Zgłoś awarię teraz
Częste pytania
Dlaczego mój hostingodawca zablokował moją stronę?
Zwykle powodem jest złośliwy kod na koncie, wysyłanie spamu, nietypowo duże obciążenie lub ataki wychodzące z Państwa serwera. Hostingodawca chroni w ten sposób swoich pozostałych klientów. Informacja o blokadzie znajduje się zwykle w komunikacie lub w panelu klienta.
Czy blokada oznacza, że moja strona rzeczywiście została zhakowana?
Nie w każdym przypadku. Niektórzy dostawcy wyłączyli strony w związku z PHP2Shell także prewencyjnie. Co faktycznie zachodzi, pokazuje dopiero sprawdzenie. Sam komunikat o blokadzie jest pierwszą, ale niepełną wskazówką.
Czy mogę poprosić hostingodawcę, aby po prostu zdjął blokadę?
Można spróbować, ale zwykle przynosi to niewiele, jeśli nic nie zostało oczyszczone. Wielu hostingodawców żąda wyjaśnienia lub dowodu oczyszczenia. Jeśli blokada zostanie zdjęta bez usunięcia przyczyny, grozi kolejna.
Czy mam zmienić hostingodawcę?
Nie pochopnie. Przeprowadzka zabiera ze sobą złośliwy kod, jeśli przenosi się razem z nią, i niszczy ślady. Najpierw oczyścić i wyjaśnić przyczynę, dopiero potem decydować o hostingodawcy.
Jak długo trwa, zanim moja strona wróci do sieci?
Zależy to od zakresu zainfekowania, stanu logów i reakcji hostingodawcy, dlatego nie podajemy terminów. Po pierwszej ocenie powiemy Państwu, co należy zrobić i które kroki zależą od hostingodawcy.