Na kratko: Če pred vašo spletno stranjo opozarjajo Google, brskalnik, ponudnik gostovanja ali stranka, na vašem strežniku zelo verjetno teče tuja koda. Če ste prizadeti, se javite zdaj. Na daljavo razjasnimo, kaj se dostavlja, zavarujemo sledi, odstranimo škodljivo kodo, zapremo dostop in vas spremljamo do ponovne sprostitve.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. Stran po potrebi preklopite v vzdrževalni način, da so obiskovalci zaščiteni, datoteke in dnevnike pa pustite nespremenjene. Prijavite nujni primer in prevzamemo že od prvega sporočila.
Ste prizadeti? Tako se pokaže spletna stran, ki širi malware
Spletna stran, ki širi škodljivo programsko opremo ali nezaželeno pošto, redko izstopa z vidno okvaro. Običajno se najprej oglasijo drugi. Tipični znaki:
- Brskalnik pred vašo domeno prikaže rdečo opozorilno stran, na primer »Deceptive site ahead« ali sporočilo o škodljivi programski opremi.
- V Google Search Console je varnostno sporočilo ali vaša stran v rezultatih iskanja nosi dodatek »Ta spletna stran lahko poškoduje vaš računalnik«.
- Obiskovalci poročajo o pojavnih oknih, nepričakovanih preusmeritvah ali prenosih, ki se pojavijo samo na mobilnih napravah ali samo po kliku iz iskanja.
- Vaši rezultati iskanja kažejo strani, ki jih nikoli niste ustvarili, na primer oglase za zdravila ali igre na srečo v tujem jeziku.
- Vaš ponudnik gostovanja piše zaradi zlorabe, pošiljanja nezaželene pošte ali nenavadnih odhodnih povezav.
- Pošta vašega podjetja pri prejemniku pristane med nezaželeno ali se vrača nenavadno veliko napak pri dostavi.
- Vaš protivirusni program ne sporoča ničesar, pritožbe pa vseeno ne ponehajo.
Več teh točk skupaj močno govori za ogroženost. Posamezen znak ima lahko tudi nedolžen vzrok. Preveriti ga je treba vseeno, saj vsak dan z opozorilno stranjo stane obiskovalce, povpraševanja in zaupanje.
Kaj storite takoj
- Zaščitite obiskovalce: Stran preklopite v vzdrževalni način ali jo naj ponudnik gostovanja začasno blokira, če se škodljiva koda aktivno dostavlja.
- Ničesar ne brišite: Brez odstranjevanja datotek, brez obnavljanja varnostne kopije, brez nove namestitve čez staro stanje, preden je vse zavarovano.
- Ohranite dnevnike: Prosite ponudnika gostovanja, naj ne prepiše dnevnikov dostopa in napak.
- Zbirajte sporočila: Naredite posnetke zaslona opozoril, zapišite datum, uro in prizadete naslove.
- Poimenujte dostope: Kdo ima dostop prek CMS-ja, FTP, SSH ali upravljalne plošče gostovanja? Gesla zamenjajte šele po dogovoru in samo s čiste naprave.
- Obvestite notranje: Vodstvo, pooblaščenec za varstvo podatkov in ob obstoječi polici zavarovalnica naj vedo.
- Vloge pri Googlu še ne vlagajte: Ponovni pregled koristi šele po čiščenju.
Kako konkretno pomaga PHP SOS?
- Ocena stanja: Razjasnimo, katera opozorila obstajajo, od kdaj in kateri sistemi ter podatki so lahko prizadeti.
- Zavarovanje in zapiranje: Zavarujemo datoteke, zbirko podatkov in dnevnike, preden se kar koli spremeni. Nato blokiramo sumljive dostope in ustavimo dostavo škodljive kode.
- Preverjanje in čiščenje: Datoteke primerjamo s čistim stanjem, iščemo webshelle, stranska vrata in vnose v zbirki podatkov ter jih odstranimo. Več o tem na strani Odstranjevanje zlonamerne kode in webshellov.
- Utrjevanje in poročilo: Zapremo vstopna vrata, preverimo stanje PHP in incident dokumentiramo. Spremljamo vas pri odpravi blokad in opozoril.
Delamo na daljavo, brez prihoda na kraj, po vsej Nemčiji in Evropi.
Zakaj se opozorilo pogosto vrne
Kdor odstrani samo vidne sledi, zdravi simptom. Napadalci praviloma vzpostavijo več dostopov: skrito datoteko PHP v mapi za nalaganje, manipuliran vtičnik, dodaten skrbniški račun ali načrtovano opravilo cron, ki izbrisane datoteke znova naloži. Če pospravite samo stran, ki jo prikazuje brskalnik, je nekaj dni pozneje ista škodljiva koda spet tam.
Poleg tega mnogi škodljivci prikrivajo svoje vedenje. Škodljivo kodo dostavljajo samo obiskovalcem, ki pridejo prek iskalnika, ali samo mobilnim napravam. Lastnik stran odpre neposredno in ne vidi ničesar. Kako takšne preusmeritve nastanejo, opisuje prispevek Spletna stran preusmerja na tuje strani, zakaj skenerji tu naletijo na meje, pa je na strani Meje skenerjev zlonamerne kode.
Googlovo opozorilo in nezaželena vsebina v iskalnem indeksu
Če je Google vašo stran označil kot nevarno, odprava poteka prek Search Console. Tam zaprosite za ponovni pregled, ko je strežnik dokazano čist. Kateri koraki so za to smiselni, razlaga vodnik Odstranitev Googlovega opozorila. Če so napadalci v vašem imenu ustvarili še strani z nezaželeno vsebino, sodi zraven njihova odstranitev iz indeksa; napotke najdete v prispevku Nezaželena vsebina SEO v Googlovem indeksu.
Če vaš strežnik pošilja nezaželeno pošto, je bil praviloma zlorabljen obrazec, skript ali poštni račun. Takrat se splača pogledati Strežnik pošilja nezaželeno pošto, saj ugled vaše domene in naslova IP trpi z vsakim nadaljnjim sporočilom.
Kako se kažejo webshelli, preberite na strani Prepoznavanje webshellov. Od PHP2Shell se pojavi dodatno vprašanje: posodobitev ranljivost zapre, ne odstrani pa škodljive programske opreme, ki je že tam. To po stanju BSI in strokovnem tisku velja enako.
Kaj nam pošljite
- sporočila v dobesednem besedilu ali kot posnetek zaslona, z datumom
- prizadete naslove in, če so znane, poti dostopa (upravljalna plošča gostovanja, SSH, CMS)
- imena agencije, razvijalcev in ponudnika gostovanja, ki sistem poznajo
- napotke, kaj je bilo nazadnje spremenjeno: posodobitve, novi vtičniki, novi sodelavci z dostopom
- podatke o varnostnih kopijah in njihovi starosti
- eno osebo s pooblastilom za odločanje, ki je dosegljiva
Nepopolni podatki niso ovira. Vprašamo, kar manjka.
Zakaj PHP SOS
Smo izvajalec »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. Imate stalnega sogovornika, delamo na daljavo in dokumentiramo vsak korak, tako da imate pred ponudnikom gostovanja, zavarovalnico in strankami dokaze v rokah. Ne obljubljamo ničesar, česar nihče ne more izpolniti, in odkrito povemo, kaj je dokazano, verjetno ali neznano. Pravnega svetovanja ne nudimo; vprašanja o odgovornosti in obveznostih prijave sodijo k pooblaščencu za varstvo podatkov in odvetniku.
Ste prizadeti? Pokličite nas. Pomagamo.
Če vaša spletna stran obiskovalce opozarja, dostavlja škodljivo kodo ali pošilja nezaželeno pošto, šteje vsak dan, ko je tako na spletu. Javite se zdaj: pokličite ali pišite po WhatsAppu. Prevzamemo že od prvega sporočila in ostanemo, dokler incident ni zaključen in dokumentiran. Prijavite nujni primer zdaj
Pogosta vprašanja
Zakaj brskalnik prikazuje opozorilo pred mojo spletno stranjo?
Brskalniki uporabljajo sezname znanih nevarnih strani. Če je vaša domena tam, brskalnik odpiranje blokira z rdečo opozorilno stranjo. Za tem običajno stoji tuja koda na strežniku, ki obiskovalce preusmerja ali naknadno nalaga škodljivo programsko opremo.
Ali zadostuje, da opozorilo pri Googlu prijavim kot odpravljeno?
Ne. Ponovni pregled pri Googlu koristi le, če je bila škodljiva koda prej v celoti odstranjena in vstopna vrata zaprta. Sicer se opozorilo kmalu znova pojavi, zavrnjena vloga pa stane čas.
Moj protivirusni program ne najde ničesar, opozorilo pa ostaja. Zakaj?
Skenerji prepoznajo predvsem znane vzorce. Škodljiva koda, ki se dostavlja le določenim obiskovalcem, iskalnikom ali napravam, pogosto ostane neodkrita. Takrat pomaga samo primerjava datotek s čistim stanjem in analiza dnevnikov.
Zakaj e-pošta mojega podjetja nenadoma pristane med nezaželeno?
Če je bil vaš strežnik ali račun zlorabljen za pošiljanje nezaželene pošte, ugled vaše domene in naslova IP pade. Strežniki prejemnikov vašo pošto nato razvrstijo kot sumljivo. Ugled je mogoče obnoviti šele po čiščenju.
Ali lahko svojo spletno stran preprosto izklopim?
Da, in ob aktivni dostavi škodljive kode je to pogosto smiselno za zaščito obiskovalcev. Pri tem pa ničesar ne brišite. Dnevniki in datoteke kažejo, kako je napadalec prišel noter.