Stručne: Ak váš poskytovateľ hostingu zablokoval web, je to väčšinou náznak škodlivého kódu alebo zneužitia, môže však ísť aj o opatrnosť. Odblokuje sa spravidla až po odstránení príčiny. Ste postihnutý? Ozvite sa hneď. Na diaľku objasníme situáciu, vyčistíme účet a odblokovanie dohodneme s vaším poskytovateľom hostingu.
Teraz nič nemažte a nič neinštalujte odznova. Ani na pokyn poskytovateľa hostingu. Stopy, logy a súbory musia zostať zachované, kým nie je všetko zabezpečené. Zavolajte alebo napíšte cez WhatsApp, alebo použite Nahlásiť núdzový prípad.
Bol váš web zablokovaný?
Blokácia sa prejavuje veľmi rôzne:
- stránka nie je dostupná alebo zobrazuje informačnú stránku poskytovateľa hostingu
- e-mail alebo ticket uvádza „malware“, „abuse“, „phishing“ alebo „spam“
- hostingový panel je zablokovaný, FTP a pošta už nefungujú
- vypnuté sú len jednotlivé funkcie, napríklad spúšťanie PHP alebo odosielanie pošty
- web beží, ale poskytovateľ hostingu požaduje v lehote opatrenia
Oznámenie si pozorne prečítajte: často sú v ňom názvy súborov, časy alebo hlásenia dôležité pre analýzu. Kto bol vypnutý preventívne, to väčšinou spozná podľa toho, že poskytovateľ hostingu neuvádza konkrétny súbor. Aj tu zostáva pri kontrole, pretože samotné vypnutie nedokazuje ani napadnutie, ani jeho neprítomnosť.
Čo urobiť hneď
- Zabezpečiť oznámenie poskytovateľa hostingu: Uchovajte e-mail, ticket a snímku obrazovky s dátumom. Aká lehota bola uvedená?
- Nečistiť na vlastnú päsť. Kto maže súbory alebo ich nahráva znova, môže zničiť stopy a riskuje ďalšiu blokáciu.
- Slušne požiadať poskytovateľa hostingu o toto: uviesť miesta nálezov, uchovať logy za dané obdobie, zachovať prístup iba na čítanie alebo exportom zálohy. Vzor žiadosti nájdete v časti Ako sa opýtať poskytovateľa hostingu na stav záplat.
- Skontrolovať odosielanie pošty: Ak spam vychádzal zo servera, blokácie inak zostanú. Indície k príčine poskytuje Server rozosiela spam.
- Zapísať prístupy: panel, FTP, SSH, databáza, backend CMS. Heslá meniť až po dohode.
- Objasniť obchodné dôsledky: Je dostupnosť webu alebo e-mailu pre vaše podnikanie kritická? Potom nám to povedzte hneď.
- Ozvať sa nám, skôr než necháte uplynúť lehoty alebo zmeníte poskytovateľa hostingu.
Ako PHP SOS konkrétne pomáha?
- Zmapovať situáciu: Prečítame oznámenie poskytovateľa hostingu, objasníme účet, rozsah a systémy a prerokujeme, ktoré funkcie sú ešte dostupné.
- Zabezpečiť a izolovať: Pokiaľ poskytovateľ hostingu umožní prístup, zabezpečíme súbory, databázu a logy a odpojíme prístupy, ktoré už nie sú dôveryhodné.
- Skontrolovať a vyčistiť: Hľadáme webshelly, manipulované súbory, cudzie účty a mechanizmy, ktoré doťahujú škodlivý kód. Postup zodpovedá odstráneniu malvéru a webshellov.
- Uzavrieť vstup a preukázať: Objasníme, ako sa útočník dostal dnu, a zraniteľnosť uzavrieme. Potom vypracujeme zrozumiteľný opis, ktorý môžete odovzdať poskytovateľovi hostingu pre odblokovanie.
- Dohodnúť a spevniť: Ak to dovolíte, komunikujeme s vaším poskytovateľom hostingu, sprevádzame odblokovanie a dávame odporúčania pre trvalú prevádzku.
Ako spracúvame všeobecný incident, popisuje stránka Web hacknutý: núdzová pomoc.
Kto zodpovedá pri zablokovaných weboch?
Pri zdieľanom hostingu kontroluje server a PHP poskytovateľ hostingu, vy kontrolujete svoje súbory a aplikácie. To, že poskytovateľ hostingu reaguje na PHP2Shell, neznamená, že je váš web čistý. Naopak, nezbavuje to vášho poskytovateľa jeho vlastných povinností. Rozdelenie popisuje Zdieľaný hosting: čo robí poskytovateľ a čo musíte urobiť vy. Po blokácii sa oplatí opýtať sa, ktorá verzia PHP skutočne beží a či je stav záplat potvrdený. Neuvádzame výroky o tom, ako ďaleko je konkrétny poskytovateľ hostingu záplatovaný. To musí potvrdiť písomne sám.
Zmena poskytovateľa môže byť zmysluplná, ale až po vyčistení a nie ako útek, pozri Zmena poskytovateľa hostingu po incidente. Ak web označil aj Google, cestu po tom popisuje Odstránenie varovania Googlu. To, že organizácie preventívne odpájajú svoje stránky od siete, je známy vzorec; čo sa z toho môžu firmy naučiť, nájdete v časti Úrady odpájajú weby od siete.
Čo poskytovatelia hostingu pri odblokovaní zvyčajne chcú vidieť
Každý poskytovateľ hostingu to rieši inak, ale očakávanie je podobné: máte ukázať, že ste pochopili a odstránili príčinu, nielen príznak. Bežný je krátky opis nálezov, potvrdenie, že škodlivý kód bol odstránený a prístupové údaje zmenené, a údaj o tom, ktorý softvér bol aktualizovaný. Niektorí poskytovatelia účet potom skontrolujú sami, iní žiadajú ďalší ticket. Tieto podklady pripravíme tak, aby ste ich mohli odovzdať aj bez odborných znalostí. Aké prísľuby váš poskytovateľ hostingu dáva a ako rýchlo reaguje, rozhoduje sám; nemáme na to vplyv a hovoríme to otvorene.
Čo by ste nám mali poslať
- oznámenie poskytovateľa hostingu v pôvodnom znení, s dátumom a uvedenou lehotou
- názov poskytovateľa hostingu, tarif a, ak je známa, verziu PHP
- adresu webu a ďalšie stránky v tom istom účte
- ktoré funkcie sú zablokované (web, pošta, panel, FTP)
- kontakt na agentúru alebo vývojára, ak existuje
Prečo PHP SOS
Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Máte jedného kontaktného partnera, ktorý váš prípad sprevádza a je dostupný na otázky pre vášho poskytovateľa hostingu. Pracujeme na diaľku, bez výjazdu, v celej Európe. Všetko sa dokumentuje, sľuby o trvaní nedávame, pretože závisia od poskytovateľa hostingu a nálezu. Pracujeme, kým nie je incident uzavretý a zdokumentovaný.
Ste postihnutý? Zavolajte. Pomôžeme vám.
Blokácia je nepríjemná, ale je jasným dôvodom konať. Ozvite sa hneď, telefonicky alebo cez WhatsApp, a preberáme prípad od prvej správy. Nahlásiť núdzový prípad teraz
Časté otázky
Prečo môj poskytovateľ hostingu zablokoval môj web?
Bežné sú škodlivý kód na účte, rozosielanie spamu, nezvyčajne vysoké zaťaženie alebo útoky vychádzajúce z vášho servera. Poskytovateľ tak chráni svojich ostatných zákazníkov. Upozornenie na blokáciu je väčšinou v oznámení alebo v zákazníckej zóne.
Znamená blokácia, že môj web bol naozaj hacknutý?
Nie v každom prípade. Niektorí poskytovatelia v súvislosti s PHP2Shell odpojili weby aj preventívne. Čo skutočne nastalo, ukáže až kontrola. Samotné oznámenie o blokácii je prvým, ale nie úplným náznakom.
Môžem poskytovateľa hostingu požiadať, aby blokáciu jednoducho zrušil?
Dá sa to skúsiť, ale väčšinou to nemá úspech, ak sa nič nevyčistilo. Mnohí poskytovatelia žiadajú vysvetlenie alebo doklad o vyčistení. Ak sa odblokuje bez odstránenia príčiny, hrozí ďalšia blokácia.
Mám prejsť k inému poskytovateľovi hostingu?
Nie unáhlene. Sťahovanie prenesie škodlivý kód so sebou, ak sa sťahuje s ním, a zničí stopy. Najprv vyčistiť a objasniť príčinu, potom rozhodnúť o poskytovateľovi.
Ako dlho potrvá, kým bude môj web opäť online?
Závisí to od rozsahu napadnutia, stavu logov a reakcie poskytovateľa hostingu, preto lehoty neuvádzame. Po prvom posúdení vám povieme, čo treba urobiť a ktoré kroky závisia od poskytovateľa.