Em resumo: se a Google, o seu navegador, o seu fornecedor de alojamento ou um cliente avisam sobre o seu site, é muito provável que esteja a correr código alheio no seu servidor. Se está afetado, contacte-nos agora. Esclarecemos remotamente o que está a ser entregue, preservamos os vestígios, removemos o código malicioso, fechamos o acesso e acompanhamo-lo até à nova libertação.
Não apague nada nem reinstale nada agora. Se necessário, ponha o site em modo de manutenção, para que os visitantes fiquem protegidos, e deixe os ficheiros e os registos inalterados. Comunicar uma emergência, e assumimos o caso desde a primeira mensagem.
Está afetado? Assim se manifesta um site que espalha malware
Um site que espalha software malicioso ou spam raramente chama a atenção por um defeito visível. Na maioria das vezes, são outros que se manifestam primeiro. Indícios típicos:
- O navegador mostra antes do seu domínio uma página de aviso vermelha, por exemplo «Deceptive site ahead» ou uma mensagem sobre software malicioso.
- No Google Search Console consta uma mensagem de segurança, ou o seu site aparece nos resultados de pesquisa com o aviso «Este site pode danificar o seu computador».
- Os visitantes relatam pop-ups, redirecionamentos inesperados ou downloads que só ocorrem em dispositivos móveis ou apenas após um clique vindo da pesquisa.
- Os seus resultados de pesquisa mostram páginas que nunca criou, por exemplo publicidade a medicamentos ou a jogos de azar numa língua estrangeira.
- O seu fornecedor de alojamento escreve por causa de abuso, envio de spam ou ligações de saída invulgares.
- Os e-mails da sua empresa vão parar ao spam do destinatário, ou regressam invulgarmente muitos erros de entrega.
- O seu antivírus não comunica nada, mas as queixas não param.
Vários destes pontos em conjunto apontam fortemente para um comprometimento. Um único indício pode também ter uma causa inofensiva. Deve, ainda assim, mandar verificar, porque cada dia com uma página de aviso custa visitantes, pedidos e confiança.
O que fazer já
- Proteger os visitantes: ponha o site em modo de manutenção ou peça ao fornecedor de alojamento que o bloqueie temporariamente, se código malicioso estiver a ser entregue ativamente.
- Não apagar nada: não remover ficheiros, não repor cópias de segurança, não reinstalar por cima do estado antigo antes de se ter preservado.
- Conservar os registos: peça ao seu fornecedor de alojamento que não substitua os registos de acesso e de erros.
- Reunir os avisos: tire capturas de ecrã dos avisos, anote a data, a hora e os endereços afetados.
- Identificar os acessos: quem tem acesso através do CMS, FTP, SSH ou painel de alojamento? Altere as palavras-passe só depois de acordo e apenas a partir de um dispositivo limpo.
- Informar internamente: a gerência, o encarregado da proteção de dados e, se existir apólice, o segurador devem estar a par.
- Ainda não fazer o pedido à Google: uma reanálise só serve de alguma coisa depois da limpeza.
Como ajuda concretamente a PHP SOS?
- Levantar a situação: esclarecemos que avisos existem, desde quando, e que sistemas e dados podem estar afetados.
- Preservar e fechar: preservamos ficheiros, base de dados e registos antes de alterar o que quer que seja. Depois bloqueamos os acessos suspeitos e paramos a entrega do código malicioso.
- Verificar e limpar: comparamos os ficheiros com um estado limpo, procuramos webshells, backdoors e entradas na base de dados e removemo-los. Mais sobre isto em Remoção de malware e webshells.
- Reforçar e relatar: fechamos a porta de entrada, verificamos o nível do PHP e documentamos o incidente. Acompanhamo-lo no levantamento de bloqueios e avisos.
Trabalhamos remotamente, sem deslocações, em toda a Alemanha e na Europa.
Porque é que o aviso muitas vezes volta
Quem elimina apenas os vestígios visíveis trata o sintoma. Os atacantes criam, na maioria das vezes, vários acessos: um ficheiro PHP escondido numa pasta de uploads, um plugin manipulado, uma conta de administrador adicional ou um cronjob agendado que volta a carregar ficheiros apagados. Se só arrumar a página que o navegador mostra, poucos dias depois o mesmo código malicioso está de volta.
Acresce que muitas pragas disfarçam o seu comportamento. Só entregam o código malicioso a visitantes que chegam através de um motor de pesquisa ou apenas a dispositivos móveis. O proprietário abre o site diretamente e não vê nada. Como surgem esses redirecionamentos, descreve-o o artigo O site redireciona para sites alheios, e porque é que os scanners encontram aqui limites, explica-o Limites dos scanners de malware.
Aviso da Google e spam no índice de pesquisa
Se a Google marcou o seu site como perigoso, o levantamento faz-se através do Search Console. Aí pede uma reanálise, assim que o servidor esteja comprovadamente limpo. Que passos fazem sentido para isso, explica-o o guia Remover o aviso da Google. Se os atacantes tiverem criado além disso páginas de spam em seu nome, a sua remoção do índice também faz parte; encontra indicações em Spam de SEO no índice da Google.
Se o seu servidor envia spam, foi na maioria das vezes um formulário, um script ou uma conta de correio que foi usado de forma abusiva. Vale então a pena ver O servidor envia spam, porque a reputação do seu domínio e do seu endereço IP sofre com cada novo e-mail.
Como se manifestam as webshells, leia-o em Reconhecer webshells. Desde o PHP2Shell, acresce uma pergunta adicional: uma atualização fecha a vulnerabilidade, mas não remove software malicioso que já lá esteja. Isto vale, segundo a avaliação da situação do BSI e a imprensa especializada, de igual modo.
O que nos deve enviar
- os avisos tal como foram formulados ou como captura de ecrã, com a data
- os endereços afetados e, se forem conhecidos, as vias de acesso (painel de alojamento, SSH, CMS)
- nomes da agência, dos programadores e do fornecedor de alojamento que conhecem o sistema
- indicações sobre o que foi alterado por último: atualizações, novos plugins, novos colaboradores com acesso
- informações sobre cópias de segurança e a sua idade
- uma pessoa com poder de decisão que esteja contactável
Informações incompletas não são obstáculo. Perguntamos o que falta.
Porquê a PHP SOS
Somos um prestador de serviços Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Tem um interlocutor fixo, trabalhamos remotamente e documentamos cada passo, de modo que tenha provas na mão perante o fornecedor de alojamento, o segurador e os clientes. Não prometemos nada que ninguém possa cumprir e dizemos abertamente o que está comprovado, o que é provável e o que é desconhecido. Não prestamos aconselhamento jurídico; as questões sobre responsabilidade e deveres de notificação pertencem aos encarregados da proteção de dados e ao advogado.
Está afetado? Ligue-nos. Nós ajudamos.
Se o seu site avisa os visitantes, entrega código malicioso ou envia spam, conta cada dia em que está assim na rede. Contacte-nos agora: ligue ou escreva-nos por WhatsApp. Assumimos o caso desde a primeira mensagem e ficamos até o incidente estar encerrado e documentado. Comunicar já uma emergência
Perguntas frequentes
Porque é que o navegador mostra um aviso sobre o meu site?
Os navegadores recorrem a listas de sites perigosos conhecidos. Se o seu domínio constar delas, o navegador bloqueia o acesso com uma página de aviso vermelha. Na maioria das vezes, por trás está código alheio no servidor, que redireciona visitantes ou carrega software malicioso.
Basta dar o aviso por resolvido na Google?
Não. Uma reanálise na Google só serve de alguma coisa se o código malicioso tiver sido antes totalmente removido e a porta de entrada fechada. Caso contrário, o aviso reaparece pouco depois, e um pedido recusado custa tempo.
O meu antivírus não encontra nada, mas o aviso mantém-se. Porquê?
Os scanners reconhecem sobretudo padrões conhecidos. O código malicioso que só é entregue a determinados visitantes, motores de pesquisa ou dispositivos passa muitas vezes despercebido. Então só ajuda comparar os ficheiros com um estado limpo e analisar os registos.
Porque é que os e-mails da minha empresa vão de repente parar ao spam?
Se o seu servidor ou a sua conta foram usados de forma abusiva para enviar spam, a reputação do seu domínio e do seu endereço IP desce. Os servidores dos destinatários passam então a classificar os seus e-mails como suspeitos. Só depois da limpeza a reputação pode ser reconstruída.
Posso simplesmente pôr o meu site offline?
Sim, e quando há entrega ativa de código malicioso isso faz muitas vezes sentido, para proteger os visitantes. Mas não apague nada ao fazê-lo. Os registos e os ficheiros mostram como o atacante entrou.