Εν συντομία: Η ψηφιακή εγκληματολογία για διακομιστές απαντά στο ερώτημα τι συνέβη πραγματικά σε μια επίθεση: πότε, πώς, με ποιες συνέπειες. Μαζί με εξειδικευμένους συνεργάτες εγκληματολογίας διασώζουμε ίχνη με αποδεικτική αξία, αναλύουμε logs, συστήματα αρχείων και βάσεις δεδομένων και παραδίδουμε μια αναφορά που μπορεί να ακολουθηθεί. Αποτελεί βάση για γνωστοποιήσεις, ασφάλιση και, ενδεχομένως, ποινική δίωξη.
Πότε χρειάζεστε ψηφιακή εγκληματολογία για τον διακομιστή σας
Δεν χρειάζεται κάθε περιστατικό εγκληματολογική έρευνα. Είναι σκόπιμη κυρίως όταν μπορεί να θίγονται δεδομένα προσωπικού χαρακτήρα, δεδομένα πληρωμών ή επιχειρηματικά μυστικά, όταν διαφαίνεται μήνυση ή δικαστική διαμάχη ή όταν μια ασφαλιστική εταιρεία αναμένει αξιόπιστη απόδειξη. Και στο ερώτημα αν απαιτείται γνωστοποίηση στην εποπτική αρχή, τα τεκμηριωμένα γεγονότα βοηθούν περισσότερο από τις εικασίες.
Μετά το PHP2Shell προστίθεται ένα ιδιαίτερο σημείο. Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 επιτρέπουν εκτέλεση κώδικα χωρίς σύνδεση και δεν υπάρχουν δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise. Το αν ένας διακομιστής επηρεάστηκε δεν μπορεί γι' αυτό να τσεκαριστεί με έναν κατάλογο ελέγχου, αλλά μόνο με ανάλυση συμπεριφοράς: Ποιες διεργασίες εκτελούνταν, ποια αρχεία δημιουργήθηκαν, ποιες συνδέσεις έφυγαν προς τα έξω; Πρώτα στοιχεία δίνει το Έχω ήδη παραβιαστεί;.
Τι ξεχωρίζει την εγκληματολογία από τον γρήγορο καθαρισμό
Ο καθαρισμός θέλει να κάνει ξανά καθαρό τον διακομιστή. Η εγκληματολογία θέλει να κατανοήσει και να τεκμηριώσει. Το ένα ερώτημα είναι «Είναι ο διακομιστής ξανά ασφαλής;», το άλλο «Τι ακριβώς συνέβη και ποια δεδομένα ήταν προσβάσιμα;». Για γνωστοποιήσεις, ασφάλιση και ενημέρωση πελατών αποφασιστικό είναι συνήθως το δεύτερο ερώτημα. Τα δύο συμβιβάζονται, όταν η σειρά είναι σωστή: πρώτα διάσωση, μετά αλλαγή. Όποιος πρώτα διαγράφει, εφαρμόζει patch ή επανεκκινεί, χάνει εφήμερα ίχνη και αργότερα συχνά δεν μπορεί να δείξει τι είδε ο επιτιθέμενος.
Φυλάξτε όλα τα logs του διακομιστή από τις 20/10/2026 και ζητήστε από τον πάροχο φιλοξενίας να μην περιστρέψει ή διαγράψει αρχεία καταγραφής. Τα logs που λείπουν είναι η συχνότερη αιτία ανοιχτών ερωτημάτων στην αναφορά.
Ποια ίχνη μετρούν σε έναν διακομιστή ιστού PHP
Σε έναν τυπικό διακομιστή ιστού υπάρχουν περισσότερα ίχνη από όσα υποθέτουν πολλοί διαχειριστές. Το αν είναι αξιοποιήσιμα εξαρτάται από το πόσο καιρό φυλάσσονται και αν διασώθηκαν πριν από την παρέμβαση.
- Αρχεία καταγραφής πρόσβασης και σφαλμάτων του διακομιστή ιστού και του PHP-FPM, μαζί με workers που κατέρρευσαν
- Σύστημα αρχείων: νέα ή αλλαγμένα αρχεία, οι χρονοσφραγίδες και οι ιδιοκτήτες τους, εκτελέσιμος κώδικας σε φακέλους uploads
- Βάση δεδομένων: νέοι λογαριασμοί χρηστών, αλλαγμένες ρυθμίσεις, περιεχόμενο που εισήχθη
- Σύστημα: cronjobs, χρήστες, κλειδιά SSH, αρχεία καταγραφής συνδέσεων, διεργασίες που εκτελούνται και συνδέσεις δικτύου
- Συστήματα ανάντη: logs από CDN, WAF, firewall, load balancer και διακομιστή email
Ειδικά τα συστήματα ανάντη ξεχνιούνται συχνά. Βρίσκονται εκτός του διακομιστή ιστού και γι' αυτό είναι δυσκολότερο να παραποιηθούν από έναν επιτιθέμενο. Σε ορισμένους παρόχους διατηρούνται μόνο για σύντομο διάστημα, γι' αυτό πρέπει να τα εξαγάγετε νωρίς.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρίνιση της εντολής: Ορίζουμε μαζί σας ποια ερωτήματα πρέπει να απαντηθούν, για παράδειγμα πόρτα εισόδου, χρονικό διάστημα, δεδομένα που θίγονται ή κίνηση μέσα στο δίκτυο. Από αυτό προκύπτει ποια συστήματα θα εξεταστούν.
- Διάσωση με αποδεικτική αξία: Εμείς και οι εξειδικευμένοι συνεργάτες μας δημιουργούμε αντίγραφα δίσκων, logs, βάσεων δεδομένων και, όπου είναι δυνατό, μνήμης RAM. Κάθε διάσωση λαμβάνει άθροισμα ελέγχου, κάθε παράδοση τεκμηριώνεται.
- Ανάλυση: Αναλύουμε αρχεία καταγραφής πρόσβασης και σφαλμάτων, αλλαγές αρχείων, λογαριασμούς χρηστών, cronjobs, διεργασίες και εξερχόμενες συνδέσεις. Τη μεθοδολογία για τα logs περιγράφει το Ανάλυση των logs του διακομιστή ιστού μετά από επίθεση.
- Δημιουργία χρονολογίου: Από τα ευρήματα προκύπτει ένα χρονολόγιο του περιστατικού, όπου κάθε δήλωση παραπέμπει σε συγκεκριμένο τεκμήριο.
- Παράδοση αναφοράς: Λαμβάνετε μια τεχνική αναφορά και μια κατανοητή περίληψη για τη διοίκηση.
Τι λαμβάνετε και τι χρειαζόμαστε
Η αναφορά περιέχει τα διασωθέντα τεκμήρια με αθροίσματα ελέγχου, την τεκμηρίωση της αλυσίδας παράδοσης, το χρονολόγιο, την πόρτα εισόδου που εντοπίστηκε ή είναι πιθανή, τα συστήματα και τα είδη δεδομένων που θίγονται, καθώς και συστάσεις. Κάθε δήλωση επισημαίνεται ως τεκμηριωμένη, πιθανή ή άγνωστη.
Χρειαζόμαστε από εσάς:
- πρόσβαση στα προσβεβλημένα συστήματα ή την έγκριση ώστε ο πάροχος φιλοξενίας να μας διαθέσει αντίγραφα
- ένα άτομο με εξουσία απόφασης, που θα ορίσει έκταση και προτεραιότητες
- πληροφορίες για το τοπίο συστημάτων, τους παρόχους υπηρεσιών και τις γνωστές αλλαγές των τελευταίων εβδομάδων
- υπάρχοντα logs, και από firewalls, CDN, WAF ή διακομιστές email
- την ένδειξη αν έχουν ήδη εμπλακεί ασφαλιστική εταιρεία, αστυνομία ή δικηγόρος
Αν θέλετε να υποβάλετε μήνυση, υποδείξεις θα βρείτε στο Υποβολή μήνυσης: Κεντρικά σημεία επαφής για το κυβερνοέγκλημα. Τι αναμένουν τυπικά οι ασφαλιστικές εταιρείες σε περίπτωση ζημιάς, εξηγεί το Ασφάλιση κυβερνοκινδύνων: τι μετρά σε περίπτωση ζημιάς.
Τι δεν υποσχόμαστε
Η εγκληματολογία μπορεί να αναλύσει μόνο ό,τι ίχνη υπάρχουν. Αν λείπουν logs, έχουν αντικατασταθεί ή έχουν παραποιηθεί από τον επιτιθέμενο, μένουν κενά, και τα κατονομάζουμε. Δεν υποσχόμαστε ότι ένα δικαστήριο θα αξιολογήσει τα αποτελέσματά μας με συγκεκριμένο τρόπο και δεν δίνουμε νομική αξιολόγηση. Δεν κατονομάζουμε δράστες, αλλά περιγράφουμε τι δείχνουν τα ίχνη. Και δηλώσεις όπως «σίγουρα δεν διέρρευσαν δεδομένα» κάνουμε μόνο όταν τις στηρίζουν τα τεκμήρια.
Αν η επίθεση βρίσκεται ακόμη σε εξέλιξη, προηγείται ο περιορισμός. Τότε ξεκινάμε με το Incident Response και διασώζουμε παράλληλα όσο το δυνατόν περισσότερα ίχνη.
Συχνές ερωτήσεις
Τι σημαίνει διάσωση αποδεικτικών στοιχείων που αντέχει σε δικαστήριο;
Τα ίχνη διασώζονται με τρόπο ώστε να μπορεί αργότερα να αποδειχθεί ότι είναι αναλλοίωτα. Σε αυτό ανήκουν τα αθροίσματα ελέγχου, μια τεκμηριωμένη αλυσίδα παράδοσης και η εργασία σε αντίγραφα αντί για το πρωτότυπο. Το αν ένα δικαστήριο θα αξιοποιήσει ένα αποδεικτικό στοιχείο, το αποφασίζει ωστόσο το δικαστήριο.
Μπορεί η ψηφιακή εγκληματολογία να διευκρινίσει αν διέρρευσαν δεδομένα πελατών;
Συχνά μπορεί να περιοριστεί σε ποια δεδομένα είχε πρόσβαση ένας επιτιθέμενος και αν υπάρχουν ενδείξεις διαρροής. Μια βέβαιη αποκλειστική κρίση δεν είναι πάντοτε δυνατή, ιδίως όταν λείπουν logs. Το αποτέλεσμα διαχωρίζεται γι' αυτό σε τεκμηριωμένο, πιθανό και άγνωστο.
Για πόσο διάστημα πρέπει να φυλάσσονται τα logs;
Για τη διερεύνηση όσο το δυνατόν περισσότερο, τουλάχιστον μέχρι να ολοκληρωθεί η έρευνα. Στο PHP2Shell ο ειδικός τύπος συνιστά να φυλάσσονται τα logs του διακομιστή από τις 20/10/2026. Τις νομικές υποχρεώσεις φύλαξης και διαγραφής τις διευκρινίζετε με τον υπεύθυνο προστασίας δεδομένων σας.
Επιτρέπεται να επανεκκινήσω ή να εφαρμόσω patch στον διακομιστή πριν από την εγκληματολογική έρευνα;
Μια επανεκκίνηση σβήνει εφήμερα ίχνη στη μνήμη RAM, ένα patch αλλάζει αρχεία. Αν μπορείτε, κάντε πρώτα διάσωση ή μιλήστε σύντομα μαζί μας. Αν ο κίνδυνος είναι οξύς, προηγείται ο περιορισμός και αυτό τεκμηριώνεται.