Em resumo: se o seu fornecedor de alojamento bloqueou o site, isso é, na maioria das vezes, um indício de código malicioso ou de abuso, mas também pode ser precaução. Em regra, só se desbloqueia quando a causa estiver eliminada. Está afetado? Contacte-nos de imediato. Esclarecemos a situação remotamente, limpamos a conta e articulamos o desbloqueio com o seu fornecedor de alojamento.
Não apague nada nem reinstale nada agora. Nem sequer a pedido do fornecedor de alojamento. Vestígios, registos e ficheiros têm de ser conservados até estar tudo preservado. Ligue ou escreva-nos por WhatsApp, ou use Comunicar uma emergência.
O seu site foi bloqueado?
Um bloqueio manifesta-se de formas muito diferentes:
- o site não está acessível ou mostra uma página de aviso do fornecedor de alojamento
- um e-mail ou um ticket refere «malware», «abuse», «phishing» ou «spam»
- o painel de alojamento está bloqueado, o FTP e o correio deixaram de funcionar
- só algumas funções estão desligadas, por exemplo a execução de PHP ou o envio de correio
- o site funciona, mas o fornecedor exige medidas dentro de um prazo
Leia a comunicação com atenção: muitas vezes contém nomes de ficheiros, momentos ou avisos importantes para a análise. Quem foi desligado por precaução reconhece-o, na maioria das vezes, por o fornecedor não indicar nenhum ficheiro concreto. Também aqui se mantém a necessidade de verificação, porque um desligamento, por si só, não prova nem a infeção nem a sua ausência.
O que fazer já
- Guardar a comunicação do fornecedor: conservar o e-mail, o ticket e uma captura de ecrã com a data. Que prazo foi indicado?
- Não limpar por conta própria. Quem apaga ou volta a carregar ficheiros pode destruir vestígios e arrisca um novo bloqueio.
- Pedir cortesmente ao fornecedor de alojamento: que indique os locais dos achados, conserve os registos do período e mantenha o acesso em modo de leitura ou por exportação de cópia de segurança. Encontra um modelo para o pedido em Como perguntar ao seu fornecedor de alojamento pelo estado do patch.
- Verificar o envio de correio: se o spam partiu do servidor, os bloqueios mantêm-se. Dá indicações sobre a causa O servidor envia spam.
- Anotar os acessos: painel, FTP, SSH, base de dados, backend do CMS. Alterar palavras-passe só depois de acordo.
- Esclarecer as consequências para o negócio: a acessibilidade do site ou do correio eletrónico é crítica para o seu negócio? Diga-nos logo.
- Contactar-nos antes de deixar passar prazos ou mudar de fornecedor de alojamento.
Como ajuda concretamente a PHP SOS?
- Levantar a situação: lemos a comunicação do fornecedor, esclarecemos conta, âmbito e sistemas e discutimos que funções ainda estão acessíveis.
- Preservar e conter: na medida em que o fornecedor dê acesso, preservamos ficheiros, base de dados e registos e separamos os acessos que já não são fiáveis.
- Verificar e limpar: procuramos webshells, ficheiros manipulados, contas alheias e mecanismos que voltam a carregar código malicioso. O procedimento corresponde a Remoção de malware e webshells.
- Fechar a entrada e comprovar: esclarecemos como o atacante entrou e fechamos a vulnerabilidade. Depois elaboramos uma descrição compreensível que pode entregar ao fornecedor de alojamento para o desbloqueio.
- Articular e reforçar: se o autorizar, falamos com o seu fornecedor de alojamento, acompanhamos o desbloqueio e damos recomendações para o funcionamento permanente.
Como tratamos o incidente em geral, descreve-o a página Site hackeado: ajuda de emergência.
Quem é responsável em sites bloqueados?
No alojamento partilhado, o fornecedor controla o servidor e o PHP; você controla os seus ficheiros e aplicações. O facto de o fornecedor reagir ao PHP2Shell não significa que o seu site esteja limpo. Inversamente, isso não dispensa o seu fornecedor das suas próprias obrigações. A repartição descreve-a Alojamento partilhado: o que faz o fornecedor e o que tem de fazer você. Depois de um bloqueio vale a pena perguntar que versão do PHP está realmente a correr e se o nível de patch está confirmado. Não fazemos afirmações sobre até onde um determinado fornecedor aplicou patches. Isso tem de o confirmar ele próprio por escrito.
Uma mudança pode fazer sentido, mas só depois da limpeza e não como via de fuga, ver Mudar de fornecedor de alojamento após um incidente. Se a Google também marcou o site, Remover o aviso da Google descreve o caminho a seguir. Que organizações retirem os seus sites da rede por precaução é um padrão conhecido; o que as empresas podem aprender com isso encontra-se em Autoridades retiram sites da rede.
O que os fornecedores de alojamento costumam querer ver para o desbloqueio
Cada fornecedor lida com isto de forma diferente, mas a expectativa é semelhante: deve mostrar que compreendeu e eliminou a causa, e não apenas o sintoma. São habituais uma breve descrição dos achados, a confirmação de que o código malicioso foi removido e as credenciais alteradas, e a indicação de que software foi atualizado. Alguns fornecedores verificam depois a conta eles próprios; outros exigem mais um ticket. Preparamos estes documentos de modo que os possa transmitir sem conhecimentos técnicos. Que compromissos o seu fornecedor assume e com que rapidez reage, decide-o ele próprio; sobre isso não temos influência e dizemo-lo abertamente.
O que nos deve enviar
- a comunicação do fornecedor de alojamento tal como foi redigida, com a data e o prazo indicado
- nome do fornecedor de alojamento, tarifa e, se for conhecida, a versão do PHP
- endereço do site e outros sites na mesma conta
- que funções estão bloqueadas (site, correio, painel, FTP)
- contacto da agência ou do programador, se existir
Porquê a PHP SOS
Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Tem um interlocutor que acompanha o seu caso e está contactável para esclarecimentos com o seu fornecedor de alojamento. Trabalhamos remotamente, sem deslocações, em toda a Alemanha e na Europa. Tudo fica documentado; não fazemos promessas sobre a duração, porque dependem do fornecedor e do resultado. Trabalhamos até o incidente estar encerrado e documentado.
Está afetado? Ligue-nos. Nós ajudamos.
Um bloqueio é incómodo, mas é um motivo claro para agir. Contacte-nos agora, por chamada ou WhatsApp, e assumimos o caso desde a primeira mensagem. Comunicar já uma emergência
Perguntas frequentes
Porque é que o meu fornecedor de alojamento bloqueou o meu site?
São habituais código malicioso na conta, envio de spam, carga invulgarmente elevada ou ataques que partem do seu servidor. Assim, o fornecedor protege os seus outros clientes. Uma indicação sobre o bloqueio consta geralmente da comunicação ou da área de cliente.
Um bloqueio significa que o meu site foi mesmo hackeado?
Nem em todos os casos. Alguns fornecedores também puseram sites offline por precaução, no contexto do PHP2Shell. O que existe de facto só uma verificação mostra. A própria comunicação de bloqueio é um primeiro indício para isso, mas não um indício completo.
Posso pedir ao fornecedor que simplesmente levante o bloqueio?
Pode tentar-se, mas em regra tem pouco êxito se nada foi limpo. Muitos fornecedores exigem uma explicação ou uma prova da limpeza. Se se desbloquear sem eliminar a causa, ameaça o bloqueio seguinte.
Devo mudar para outro fornecedor de alojamento?
Não de forma precipitada. Uma mudança leva consigo o código malicioso, se este se mudar também, e destrói vestígios. Primeiro limpar e esclarecer a causa, depois decidir sobre o fornecedor.
Quanto tempo demora até o meu site voltar a estar online?
Depende da extensão da infeção, do estado dos registos e da reação do fornecedor, por isso não indicamos prazos. Depois da primeira avaliação, dizemos-lhe o que fazer e que passos dependem do fornecedor.