Stručně: Pokud před vaším webem varuje Google, váš prohlížeč, váš hosting nebo zákazník, běží na vašem serveru velmi pravděpodobně cizí kód. Týká se to vás? Ozvěte se hned. Na dálku zjistíme, co se dodává, zajistíme stopy, odstraníme škodlivý kód, uzavřeme přístup a provedeme vás až do opětovného zveřejnění.
Nyní nic nemažte a nic znovu nenasazujte. Podle potřeby přepněte web do režimu údržby, aby byli návštěvníci chráněni, a nechte soubory a logy beze změn. Nahlásit nouzi a my přebíráme situaci od první zprávy.
Týká se to vás? Takto se projevuje web, který šíří malware
Web, který šíří škodlivý software nebo spam, málokdy upoutá viditelnou závadou. Většinou se jako první ozvou jiní. Typické příznaky:
- Prohlížeč před vaší doménou zobrazí červenou varovnou stránku, například „Deceptive site ahead“ nebo hlášení o škodlivém software.
- V Google Search Console je bezpečnostní hlášení, nebo se vaše stránka ve výsledcích vyhledávání objevuje s dovětkem „Tento web může poškodit váš počítač“.
- Návštěvníci hlásí vyskakovací okna, neočekávaná přesměrování nebo stahování, která se objevují jen na mobilních zařízeních nebo jen po kliknutí z vyhledávání.
- Ve výsledcích vyhledávání se zobrazují stránky, které jste nikdy nevytvořili, například reklama na léky nebo hazard v cizím jazyce.
- Váš hosting píše kvůli zneužití, rozesílání spamu nebo nápadným odchozím spojením.
- E-maily vaší firmy končí u příjemce ve spamu, nebo se vrací nápadně mnoho chyb doručení.
- Váš antivirový skener nic nehlásí, stížnosti přesto neustávají.
Několik z těchto bodů dohromady silně ukazuje na kompromitaci. Jednotlivý příznak může mít i neškodnou příčinu. Nechat to ověřit byste přesto měli, protože každý den s varovnou stránkou stojí návštěvníky, poptávky i důvěru.
Co udělat hned
- Chránit návštěvníky: Přepněte web do režimu údržby nebo ho nechte hostingem dočasně zablokovat, pokud se aktivně dodává škodlivý kód.
- Nic nemazat: Neodstraňujte soubory, neobnovujte zálohu, neprovádějte novou instalaci přes starý stav, dokud není vše zajištěno.
- Uchovat logy: Požádejte svůj hosting, aby nepřepisoval přístupové a chybové protokoly.
- Shromáždit hlášení: Pořiďte snímky obrazovky varování, poznamenejte datum, čas a dotčené adresy.
- Určit přístupy: Kdo má přístup přes CMS, FTP, SSH nebo hostingový panel? Hesla měňte až po dohodě a jen z čistého zařízení.
- Informovat interně: Vedení firmy, pověřenec pro ochranu osobních údajů a při existující pojistce pojišťovna by měli být v obraze.
- Žádost u Googlu zatím nepodávat: Nové posouzení má smysl až po vyčištění.
Jak PHP SOS konkrétně pomáhá?
- Zmapování situace: Zjistíme, jaká varování existují, od kdy a které systémy a data mohou být dotčeny.
- Zajištění a uzavření: Zajistíme soubory, databázi a logy dříve, než se cokoli změní. Poté zablokujeme podezřelé přístupy a zastavíme dodávání škodlivého kódu.
- Kontrola a vyčištění: Porovnáme soubory s čistým stavem, hledáme webshelly, zadní vrátka a záznamy v databázi a odstraňujeme je. Více na stránce Odstranění malwaru a webshellů.
- Hardening a zpráva: Uzavřeme vstupní bránu, zkontrolujeme stav PHP a incident zdokumentujeme. Provázíme vás při zrušení blokací a varování.
Pracujeme na dálku, bez cestování, v celém Německu i v Evropě.
Proč se varování často vrací
Kdo odstraní jen viditelné stopy, léčí příznak. Útočníci obvykle zřídí několik přístupů: skrytý soubor PHP ve složce pro nahrávání, manipulovaný plugin, další účet administrátora nebo naplánovanou cron úlohu, která smazané soubory znovu stahuje. Pokud uklidíte jen stránku, kterou zobrazuje prohlížeč, je za několik dní týž škodlivý kód zpět.
K tomu přistupuje, že mnoho škůdců maskuje své chování. Dodávají škodlivý kód jen návštěvníkům, kteří přicházejí z vyhledávače, nebo jen mobilním zařízením. Majitel web otevře přímo a nic nevidí. Jak takové přesměrování vzniká, popisuje příspěvek Web přesměrovává na cizí stránky a proč zde skenery narážejí na hranice, najdete v článku Hranice skenerů malwaru.
Varování Googlu a spam ve vyhledávacím indexu
Pokud Google označil váš web za nebezpečný, zrušení probíhá přes Search Console. Tam požádáte o nové posouzení, jakmile je server prokazatelně čistý. Které kroky jsou k tomu rozumné, vysvětluje poradna Odstranění varování Googlu. Pokud útočníci navíc vytvořili spamové stránky ve vašem jménu, patří k tomu i jejich odstranění z indexu; vodítka najdete v článku SEO spam v indexu Googlu.
Pokud váš server rozesílá spam, byl zpravidla zneužit formulář, skript nebo poštovní účet. Pak se vyplatí pohled na Server rozesílá spam, protože reputace vaší domény a adresy IP trpí každým dalším e-mailem.
Jak se webshelly projevují, si přečtěte v článku Rozpoznání webshellu. Od PHP2Shell přibývá další otázka: aktualizace zranitelnost uzavře, ale neodstraní škodlivý software, který už je na místě. To platí podle situace popisované BSI i odborného tisku stejně.
Co nám poslat
- hlášení v původním znění nebo jako snímek obrazovky, s datem
- dotčené adresy a, pokud jsou známy, cesty přístupu (hostingový panel, SSH, CMS)
- jména agentury, vývojářů a hostingu, kteří systém znají
- upozornění, co se naposledy měnilo: aktualizace, nové pluginy, noví zaměstnanci s přístupem
- údaje o zálohách a jejich stáří
- jednu dosažitelnou osobu s pravomocí rozhodovat
Neúplné údaje nejsou překážkou. Zeptáme se na to, co chybí.
Proč PHP SOS
Jsme poskytovatel služeb v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Máte pevný kontaktní bod, pracujeme na dálku a dokumentujeme každý krok, takže máte vůči hostingu, pojišťovně a zákazníkům v ruce doklady. Neslibujeme nic, co nikdo nemůže splnit, a otevřeně říkáme, co je doloženo, pravděpodobné nebo neznámé. Právní poradenství neposkytujeme; otázky odpovědnosti a oznamovacích povinností patří pověřenci pro ochranu osobních údajů a právníkovi.
Týká se to vás? Zavolejte nám. Pomůžeme.
Pokud váš web varuje návštěvníky, dodává škodlivý kód nebo rozesílá spam, počítá se každý den, kdy je takto v síti. Ozvěte se hned: zavolejte nebo napište přes WhatsApp. Přebíráme situaci od první zprávy a zůstáváme u ní, dokud není incident uzavřen a zdokumentován. Nahlásit nouzi hned
Časté dotazy
Proč prohlížeč zobrazuje varování před mým webem?
Prohlížeče využívají seznamy známých nebezpečných stránek. Je-li tam vaše doména vedena, prohlížeč přístup zablokuje červenou varovnou stránkou. Většinou za tím stojí cizí kód na serveru, který přesměrovává návštěvníky nebo dohrává škodlivý software.
Stačí varování u Googlu nahlásit jako vyřešené?
Ne. Nové posouzení u Googlu má smysl jen tehdy, pokud byl škodlivý kód předtím zcela odstraněn a vstupní brána uzavřena. Jinak se varování krátce poté objeví znovu a zamítnutá žádost stojí čas.
Můj antivirový skener nic nenachází, varování ale zůstává. Proč?
Skenery rozpoznávají především známé vzory. Škodlivý kód, který se dodává jen určitým návštěvníkům, vyhledávačům nebo zařízením, často zůstane neodhalen. Pak pomůže jen porovnání souborů s čistým stavem a vyhodnocení logů.
Proč e-maily mé firmy najednou končí ve složce spamu?
Pokud byl váš server nebo účet zneužit k rozesílání spamu, klesá reputace vaší domény a adresy IP. Servery příjemců pak vaše e-maily považují za podezřelé. Reputaci lze obnovit až po vyčištění.
Mohu web jednoduše odpojit?
Ano, a při aktivním dodávání škodlivého kódu je to často rozumné, aby byli návštěvníci chráněni. Nic přitom nemažte. Logy a soubory ukazují, jak se útočník dostal dovnitř.