Kort sagt: Har jeres hostingudbyder spærret websitet, er det som regel et tegn på skadelig kode eller misbrug, men kan også være forsigtighed. Der åbnes som regel først, når årsagen er afhjulpet. Er I berørt? Kontakt os med det samme. Vi afklarer situationen på afstand, renser kontoen og afstemmer genåbningen med jeres hostingudbyder.
Slet intet og opsæt intet på ny nu. Heller ikke på tilråb fra hostingudbyderen. Spor, logs og filer skal bevares, indtil alt er sikret. Ring til os eller skriv på WhatsApp, eller brug Meld en nødsituation.
Er jeres website blevet spærret?
En spærring viser sig meget forskelligt:
- siden er ikke tilgængelig eller viser en henvisningsside fra hostingudbyderen
- en mail eller en ticket nævner »malware«, »abuse«, »phishing« eller »spam«
- hostingpanelet er spærret, FTP og mail fungerer ikke længere
- kun enkelte funktioner er slået fra, for eksempel PHP-udførelse eller mailudsendelse
- websitet kører, men hostingudbyderen kræver foranstaltninger inden for en frist
Læs meddelelsen nøje: Ofte står der filnavne, tidspunkter eller meldinger i den, som er vigtige for analysen. Den, der er slukket forebyggende, genkender det som regel på, at hostingudbyderen ikke nævner nogen konkret fil. Også her bliver det ved kontrollen, for en nedlukning alene beviser hverken angreb eller fravær af angreb.
Hvad I gør med det samme
- Sikr hostingudbyderens meddelelse: Gem mail, ticket og skærmbillede med dato. Hvilken frist blev nævnt?
- Ryd ikke op på egen hånd. Den, der sletter filer eller uploader dem på ny, kan ødelægge spor og risikerer en ny spærring.
- Bed hostingudbyderen høfligt om følgende: nævne fundstederne, gemme logs for perioden, bevare adgangen læsende eller via backup-eksport. En skabelon til forespørgslen finder I under Sådan spørger I jeres hostingudbyder om patch-status.
- Kontrollér mailudsendelsen: Hvis spam udgik fra serveren, bliver spærringer ellers stående. Henvisninger til årsagen giver Serveren sender spam.
- Notér adgangene: Panel, FTP, SSH, database, CMS-backend. Skift adgangskoder først efter aftale.
- Afklar de forretningsmæssige følger: Er tilgængeligheden af siden eller af e-mail kritisk for jeres forretning? Så fortæl os det med det samme.
- Kontakt os, før I lader frister udløbe eller skifter hostingudbyder.
Hvordan hjælper PHP SOS konkret?
- Danne overblik over situationen: Vi læser hostingudbyderens meddelelse, afklarer konto, omfang og systemer og drøfter, hvilke funktioner der stadig er tilgængelige.
- Sikre og inddæmme: Så vidt hostingudbyderen giver adgang, sikrer vi filer, database og logs og afbryder adgange, som ikke længere er pålidelige.
- Kontrollere og rense: Vi leder efter webshells, manipulerede filer, fremmede konti og mekanismer, der genindlæser skadelig kode. Forløbet svarer til Fjern malware og webshells.
- Lukke indgangen og dokumentere: Vi afklarer, hvordan angriberen kom ind, og lukker sårbarheden. Derefter udarbejder vi en forståelig beskrivelse, som I kan overgive til hostingudbyderen til genåbningen.
- Afstemme og hærde: Vi taler, hvis I tillader det, med jeres hostingudbyder, følger genåbningen og giver anbefalinger til den varige drift.
Hvordan vi behandler den almindelige hændelse, beskriver siden Website hacket: Nødhjælp.
Hvem er ansvarlig ved spærrede websites?
Ved shared hosting kontrollerer hostingudbyderen server og PHP, I kontrollerer jeres filer og applikationer. At hostingudbyderen reagerer på PHP2Shell, betyder ikke, at jeres side er ren. Omvendt fritager det ikke jeres hostingudbyder for dens egne forpligtelser. Fordelingen beskriver Shared hosting: Hvad hostingudbyderen gør, og hvad I skal gøre. Efter en spærring er det værd at spørge, hvilken PHP-version der faktisk kører, og om patch-status er bekræftet. Vi udtaler os ikke om, hvor langt en bestemt hostingudbyder er kommet med patching. Det skal udbyderen selv bekræfte skriftligt.
Et skifte kan være fornuftigt, men først efter oprydningen og ikke som flugtvej, se Skift hostingudbyder efter en hændelse. Har også Google markeret siden, beskriver Fjern Google-advarsel vejen bagefter. At organisationer forebyggende tager deres sider af nettet, er et kendt mønster; hvad virksomheder kan lære af det, står under Myndigheder tager websites af nettet.
Hvad hostingudbydere som regel vil se til genåbningen
Hver hostingudbyder håndterer det forskelligt, men forventningen ligner hinanden: I skal vise, at I har forstået og afhjulpet årsagen, og ikke blot symptomet. Almindeligt er en kort beskrivelse af fundene, bekræftelsen af, at skadelig kode er fjernet og adgangsdata skiftet, og oplysningen om, hvilken software der er opdateret. Nogle udbydere kontrollerer kontoen bagefter selv, andre kræver en ny ticket. Vi forbereder disse dokumenter, så I kan give dem videre uden fagkundskab. Hvilke tilsagn jeres hostingudbyder giver, og hvor hurtigt den reagerer, afgør den selv; det har vi ingen indflydelse på og siger det åbent.
Hvad I bør sende til os
- hostingudbyderens meddelelse i ordlyd, med dato og nævnt frist
- hostingudbyderens navn, abonnement og, hvis kendt, PHP-versionen
- websitets adresse og andre sider i samme konto
- hvilke funktioner der er spærret (website, mail, panel, FTP)
- kontakt til bureauet eller udvikleren, hvis der er et
Hvorfor PHP SOS
Vi arbejder Made in Germany og har sammen med vores partnernetværk af cyberprofessionelle i over 25 år specialiseret os i it-sikkerhed. I har én kontaktperson, der følger jeres sag og er tilgængelig til opfølgende spørgsmål med jeres hostingudbyder. Vi arbejder på afstand, uden transport, i hele Tyskland og Europa. Alt dokumenteres, løfter om varighed giver vi ikke, fordi de afhænger af hostingudbyder og resultat. Vi arbejder, indtil hændelsen er afsluttet og dokumenteret.
Er I berørt? Ring til os. Vi hjælper.
En spærring er besværlig, men den er en klar anledning til at handle. Kontakt os nu, pr. opkald eller WhatsApp, og vi overtager fra den første besked. Meld en nødsituation nu
Ofte stillede spørgsmål
Hvorfor har min hostingudbyder spærret min website?
Almindeligt er skadelig kode på kontoen, udsendelse af spam, usædvanlig høj belastning eller angreb, der udgår fra jeres server. Hostingudbyderen beskytter dermed sine andre kunder. En henvisning til spærringen står som regel i meddelelsen eller i kundeområdet.
Betyder en spærring, at min website virkelig er blevet hacket?
Ikke i ethvert tilfælde. Nogle udbydere har i forbindelse med PHP2Shell også forebyggende taget websites offline. Hvad der faktisk foreligger, viser først en kontrol. Selve spærremeddelelsen er hertil et første, men ikke et fuldstændigt tegn.
Kan jeg bare bede hostingudbyderen ophæve spærringen?
Det kan man prøve, men det har som regel lille succes, hvis intet er blevet renset. Mange hostingudbydere kræver en forklaring eller dokumentation for oprydningen. Hvis der åbnes uden afhjælpning af årsagen, truer den næste spærring.
Skal jeg skifte til en anden hostingudbyder?
Ikke forhastet. En flytning tager den skadelige kode med, hvis den flytter med, og ødelægger spor. Først rense og afklare årsagen, derefter beslutte om hostingudbyderen.
Hvor længe varer det, før min website er online igen?
Det afhænger af omfanget af angrebet, logsenes tilstand og hostingudbyderens reaktion, derfor nævner vi ingen frister. Vi fortæller jer efter den første vurdering, hvad der skal gøres, og hvilke skridt der afhænger af hostingudbyderen.