Накратко: Ако Google, Вашият браузър, хостинг доставчикът или клиент предупреждава за сайта Ви, на сървъра Ви най-вероятно работи чужд код. Ако сте засегнати, свържете се с нас сега. Изясняваме отдалечено какво се разпространява, запазваме следите, премахваме зловредния код, затваряме достъпа и Ви съпровождаме до повторното разрешаване.
Сега не трийте нищо и не инсталирайте наново. При нужда пуснете сайта в режим на поддръжка, за да са защитени посетителите, и оставете файловете и логовете непроменени. Съобщете за спешен случай и ние поемаме от първото съобщение.
Засегнати ли сте? Как се проявява сайт, който разпространява зловреден софтуер
Сайт, който разпространява зловреден софтуер или спам, рядко прави впечатление с видим дефект. Обикновено първи се обаждат други. Типични указания:
- Браузърът показва пред Вашия домейн червена предупредителна страница, например „Deceptive site ahead“ или съобщение за вреден софтуер.
- В Google Search Console има съобщение за сигурност или Вашата страница се появява в резултатите от търсенето с бележката „Този сайт може да навреди на Вашия компютър“.
- Посетители съобщават за изскачащи прозорци, неочаквани пренасочвания или изтегляния, които се появяват само на мобилни устройства или само след клик от търсачката.
- Резултатите от търсенето Ви показват страници, които никога не сте създавали, например реклама на лекарства или хазарт на чужд език.
- Вашият хостинг доставчик пише заради злоупотреба, изпращане на спам или подозрителни изходящи връзки.
- Имейлите на Вашата фирма попадат при получателя в спама или се връщат необичайно много грешки при доставка.
- Антивирусният Ви скенер не съобщава нищо, а оплакванията все пак не спират.
Няколко от тези точки заедно говорят силно за компрометиране. Отделно указание може да има и безобидна причина. Все пак го проверете, защото всеки ден с предупредителна страница струва посетители, запитвания и доверие.
Какво да направите веднага
- Защитете посетителите: Пуснете сайта в режим на поддръжка или го оставете хостинг доставчикът временно да го блокира, ако зловреден код се разпространява активно.
- Не трийте нищо: Не премахвайте файлове, не възстановявайте резервно копие, не инсталирайте наново върху старото състояние, преди да е направено запазване.
- Запазете логовете: Помолете хостинг доставчика да не презаписва протоколите за достъп и грешки.
- Съберете съобщенията: Направете снимки на екрана на предупрежденията, запишете дата, час и засегнатите адреси.
- Назовете достъпите: Кой има достъп през CMS, FTP, SSH или хостинг панела? Паролите сменяйте едва след уточняване и само от чисто устройство.
- Информирайте вътрешно: Управлението, длъжностното лице по защита на данните и при действаща полица застрахователят трябва да знаят.
- Още не подавайте молба до Google: Проверка има смисъл едва след почистването.
Как конкретно помага PHP SOS?
- Преглед на положението: Изясняваме какви предупреждения има, от кога, и кои системи и данни може да са засегнати.
- Запазване и затваряне: Запазваме файловете, базата данни и логовете, преди да е променено нещо. След това блокираме подозрителни достъпи и спираме разпространението на зловредния код.
- Проверка и почистване: Сравняваме файловете с чисто състояние, търсим уеб шелове, задни вратички и записи в базата данни и ги премахваме. Повече по темата в Премахване на зловреден софтуер и уеб шелове.
- Заздравяване и отчет: Затваряме входната врата, проверяваме състоянието на PHP и документираме инцидента. Съпровождаме Ви при отмяната на блокирания и предупреждения.
Работим отдалечено, без пътуване, в цяла Германия и Европа.
Защо предупреждението често се връща
Който премахва само видимите следи, лекува симптома. Атакуващите обикновено създават няколко достъпа: скрит PHP файл в папка за качване, манипулиран плъгин, допълнителен администраторски акаунт или планирана cron задача, която зарежда изтритите файлове наново. Ако разчистите само страницата, която показва браузърът, след няколко дни същият зловреден код отново е там.
Към това много вредители прикриват поведението си. Те разпространяват зловреден код само към посетители, идващи от търсачка, или само към мобилни устройства. Собственикът отваря страницата директно и не вижда нищо. Как възникват такива пренасочвания, описва статията Сайтът пренасочва към чужди страници, а защо скенерите стигат до граници, е описано в Границите на скенерите за зловреден софтуер.
Предупреждение на Google и спам в индекса на търсачката
Ако Google е маркирал Вашата страница като опасна, отмяната върви през Search Console. Там искате проверка, щом сървърът е доказуемо чист. Кои стъпки са разумни за това, обяснява ръководството Премахване на предупреждението на Google. Ако атакуващите са създали допълнително спам страници от Ваше име, към това спада и премахването им от индекса; указания ще намерите в SEO спам в индекса на Google.
Ако Вашият сървър изпраща спам, обикновено е злоупотребено с формуляр, скрипт или пощенски акаунт. Тогава си струва да погледнете Сървърът изпраща спам, защото репутацията на Вашия домейн и на IP адреса страда с всеки следващ имейл.
Как се проявяват уеб шеловете, прочетете в Разпознаване на уеб шел. Откакто има PHP2Shell, добавя се още един въпрос: актуализацията затваря уязвимостта, но не премахва зловреден софтуер, който вече е там. Това важи според положението по BSI и специализираната преса еднакво.
Какво да ни изпратите
- съобщенията дословно или като снимка на екрана, с дата
- засегнатите адреси и, ако са известни, пътищата за достъп (хостинг панел, SSH, CMS)
- имена на агенцията, разработчиците и хостинг доставчика, които познават системата
- указания какво е било променено последно: актуализации, нови плъгини, нови служители с достъп
- данни за резервните копия и тяхната възраст
- едно лице с право на решение, което е достъпно
Непълните данни не са пречка. Ние питаме за липсващото.
Защо PHP SOS
Ние сме доставчик на услуги Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате постоянен партньор за контакт, работим отдалечено и документираме всяка стъпка, така че пред хостинг доставчика, застрахователя и клиентите да имате доказателства. Не обещаваме нищо, което никой не може да изпълни, и казваме открито какво е доказано, вероятно или неизвестно. Правни консултации не предоставяме; въпросите за отговорността и задълженията за уведомяване принадлежат на длъжностните лица по защита на данните и на адвоката.
Засегнати ли сте? Обадете се. Помагаме Ви.
Ако Вашият сайт предупреждава посетителите, разпространява зловреден код или изпраща спам, важи всеки ден, в който стои така в мрежата. Свържете се с нас сега: обадете се или пишете по WhatsApp. Поемаме от първото съобщение и оставаме, докато инцидентът бъде приключен и документиран. Съобщете за спешен случай сега
Често задавани въпроси
Защо браузърът показва предупреждение за моя сайт?
Браузърите ползват списъци с познати опасни страници. Ако Вашият домейн фигурира там, браузърът блокира достъпа с червена предупредителна страница. Обикновено зад това стои чужд код на сървъра, който пренасочва посетители или зарежда зловреден софтуер.
Достатъчно ли е да обявя предупреждението в Google за приключено?
Не. Проверка в Google има смисъл само ако зловредният код преди това е премахнат изцяло и входната врата е затворена. Иначе предупреждението се появява отново скоро след това, а отхвърлена молба губи време.
Антивирусният ми скенер не намира нищо, а предупреждението остава. Защо?
Скенерите разпознават предимно познати модели. Зловреден код, който се показва само на определени посетители, търсачки или устройства, често остава неоткрит. Тогава помага само сравняване на файловете с чисто състояние и анализ на логовете.
Защо имейлите на фирмата ми изведнъж попадат в папката за спам?
Ако Вашият сървър или акаунт е бил използван за изпращане на спам, репутацията на Вашия домейн и на IP адреса спада. Сървърите на получателите тогава смятат имейлите Ви за подозрителни. Репутацията може да се изгради отново едва след почистването.
Мога ли просто да изключа сайта си от мрежата?
Да, а при активно разпространение на зловреден код това често е разумно, за да се защитят посетителите. Не трийте обаче нищо при това. Логовете и файловете показват как е влязъл атакуващият.