Em resumo: está afetado? Ligue-nos. Nós ajudamos. Nas médias empresas falta muitas vezes um departamento de segurança próprio, e é precisamente para isso que cá estamos: desde a primeira mensagem, assumimos remotamente os primeiros socorros para os seus servidores web, preservamos vestígios, fechamos a vulnerabilidade, limpamos e documentamos, até o incidente estar encerrado.
Não apague nada nem reinstale nada agora. Isto vale também quando a atividade aperta e o site tem de voltar a funcionar. Primeiro preservar, depois reparar. Comunicar uma emergência; dizemos-lhe o que pode fazer por si sem risco.
Está afetado? A situação típica nas médias empresas
Quem dirige uma empresa com 20, 200 ou 800 colaboradores tem, na maioria das vezes, uma ou duas pessoas para a TI, uma agência para o site e um fornecedor de alojamento para o servidor. É normal, mas num caso grave tornam-se visíveis as lacunas. É de supor um risco agudo quando:
- O seu site, o seu portal de clientes ou a sua loja online corre em PHP e ninguém sabe ao certo qual é a versão exata.
- Um fornecedor de alojamento, um cliente ou um aviso no navegador comunica anomalias.
- O seu administrador relata que há ficheiros ou contas no servidor web que não consegue explicar.
- Não sabe que sistemas estão sequer acessíveis publicamente.
- O servidor web tem acesso a sistemas internos, bases de dados ou arquivos de ficheiros.
A imprensa especializada apresenta como contexto que quase todas as versões do PHP podem estar afetadas: segundo relatos, estão afetadas versões até ao PHP 5.4. Como é a situação nas médias empresas, descreve-o a página Segurança informática para PME e indústria.
O que fazer já
- Formar uma célula de crise. Gerência, TI e, se for caso disso, proteção de dados: poucas pessoas, um decisor.
- Reunir os sistemas. Que servidores, sites e portais estão afetados ou poderiam estar? Uma lista simples basta.
- Não alterar nada. Sem ações de limpeza, sem reinstalação, sem reposição de cópias de segurança.
- Mandar verificar as ligações. O servidor web está ligado à rede interna? Então um ataque ao site pode afetar mais do que apenas o site.
- Contactar o fornecedor de alojamento e a agência. Peça a ambos que conservem os registos e confirmem o estado e as responsabilidades. Como fazê-lo, vê-se em Como perguntar ao seu fornecedor de alojamento pelo estado do patch.
- Proteger os acessos. Altere palavras-passe e chaves só depois de acordo e a partir de dispositivos limpos.
- Contacte-nos agora. Ligue ou escreva-nos por WhatsApp.
Primeiros socorros para servidores web: como procedemos nas médias empresas
Uma empresa de média dimensão não pode permitir-se uma paragem, mas também não pode permitir-se uma intervenção descontrolada. Por isso trabalhamos por fases, que perturbam o mais possível pouco a atividade em curso:
- Fase 1, isolar: esclarecemos se os servidores afetados têm de ser temporariamente limitados. No caso do PHP2Shell, o BSI recomenda retirar da rede os servidores web, se uma atualização não for possível de imediato.
- Fase 2, preservar: preservamos registos, ficheiros e bases de dados, para que o incidente continue a ser demonstrável.
- Fase 3, resolver: patch ou configuração, reinício de todos os processos PHP, fecho de acessos desconhecidos.
- Fase 4, verificar: procuramos no sistema e na sua envolvente vestígios e danos subsequentes, também em servidores adjacentes.
Um ponto decisivo para quem decide: uma atualização do CMS, por exemplo do WordPress, não fecha a vulnerabilidade do PHP, e um patch não remove código malicioso já introduzido. Quem diz «concluído» depois da atualização não fez metade do trabalho.
Erros típicos nas médias empresas nas primeiras horas
Da prática conhecem-se alguns padrões que agravam o dano. Primeiro, a responsabilidade é passada de um lado para o outro: o fornecedor de alojamento remete para o cliente, a agência para o fornecedor de alojamento, o administrador para a gerência. Por isso, defina cedo quem decide. Segundo, a recuperação é feita depressa de mais. Repor uma cópia de segurança antiga sem fechar a porta de entrada traz o atacante logo de volta. Terceiro, a comunicação fica por fazer: colaboradores, clientes e parceiros de negócio ficam a saber do incidente em segunda mão.
Em Comunicação de crise após um ataque encontra indicações de como resolver isso com calma. Como regra de ouro: melhor dizer pouco, mas com provas.
Como ajuda concretamente a PHP SOS?
- Levantar a situação: esclarecemos consigo os sistemas, o modo de operação (PHP-FPM, mod_php ou LiteSpeed), os dados e os interlocutores. Uma primeira panorâmica surge depressa, mesmo sem conhecimentos de pormenor.
- Preservar e fechar: preservamos vestígios e fechamos a porta de entrada, sem perturbar desnecessariamente os seus processos.
- Verificar e limpar: webshells, backdoors, cronjobs e contas alheias são procurados e removidos. Pormenores em Remoção de malware e webshells.
- Reforçar e relatar: recebe um relatório para a gerência, a proteção de dados e o segurador. Se desejar, construímos consigo a prevenção, por exemplo através de um contrato de manutenção de segurança.
Se o incidente se estender para além de um servidor web, passamos a uma resposta a incidentes estruturada.
Depois: prevenção sem departamento de segurança próprio
Quando o incidente está encerrado, fica a pergunta de como evitar o próximo ou, pelo menos, reconhecê-lo mais cedo. Para empresas sem equipa de segurança própria, quatro coisas são as mais importantes: um inventário de todos os sites e servidores atualizado, um interlocutor claro para as atualizações, cópias de segurança verificadas e um breve plano de emergência de TI.
Se a sua empresa está abrangida pelas obrigações da NIS2 é uma questão jurídica a que não respondemos. Encontra informação geral na nossa página; o enquadramento cabe ao advogado ou ao encarregado da proteção de dados.
O que nos deve enviar
- uma breve descrição do incidente e do momento
- uma lista dos sites, lojas e portais com o fornecedor de alojamento e, na medida do conhecido, a versão do PHP
- nomes do administrador, da agência e do fornecedor de alojamento que conhecem o sistema
- indicações sobre se o servidor web está ligado a sistemas internos
- informações sobre cópias de segurança e sobre um eventual ciberseguro existente
Porquê a PHP SOS
Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Para si isto significa: um interlocutor em vez de muitos, trabalho remoto sem deslocações em toda a Alemanha e na Europa, e uma documentação com que se afirma perante clientes, segurador e autoridades. Separamos abertamente o que está comprovado, o que é provável e o que é desconhecido, e não prometemos nada que ninguém possa cumprir.
Está afetado? Ligue-nos. Nós ajudamos.
Para os primeiros socorros não precisa de um departamento de segurança próprio, mas de um interlocutor que comece. Assumimos o caso desde a primeira mensagem e ficamos até o incidente estar encerrado e documentado. Comunicar já uma emergência.
Perguntas frequentes
O que fazer perante um ciberataque sem departamento de segurança informática próprio?
Preservar os vestígios, não apagar nada, nomear um decisor e obter ajuda externa. Uma média empresa não tem de saber fazer tudo sozinha. Assumimos a parte técnica e trabalhamos com o seu administrador, a sua agência ou o seu fornecedor de alojamento.
As pequenas e médias empresas são sequer alvo de ataques?
Sim. As análises automatizadas procuram servidores sem patch, sem olhar ao tamanho da empresa. No caso do PHP2Shell, a Palo Alto Networks (Unit 42) contou mais de 22,6 milhões de instâncias expostas e potencialmente vulneráveis.
A nossa atividade tem de parar se o servidor web for atacado?
Não necessariamente. Muitas vezes é possível isolar o site e a loja enquanto os sistemas internos continuam a funcionar. Esclarecemos primeiro se existem ligações entre o servidor web e a sua rede interna.
A NIS2 aplica-se a nós e o que significa isso num incidente?
Se a sua empresa cai ou não sob a NIS2 depende do setor e da dimensão e é uma questão jurídica. A nossa página sobre a NIS2 dá uma panorâmica; o enquadramento para o seu caso cabe ao advogado ou ao encarregado da proteção de dados.
Como nos preparamos para o próximo incidente?
Com um inventário dos sistemas, um interlocutor nomeado, cópias de segurança verificadas e um breve plano de emergência. Ajudamos na sua construção depois de o incidente agudo estar encerrado.