Εν συντομία: Όταν θέλετε να αφαιρεθεί το malware από τον ιστότοπό σας, η διαγραφή μεμονωμένων αρχείων σπάνια αρκεί. Διασώζουμε πρώτα το εύρημα, εντοπίζουμε webshells, κερκόπορτες και κρυφές εργασίες, ξαναχτίζουμε από αξιόπιστες πηγές και κλείνουμε την πόρτα εισόδου. Μόνο τότε ο καθαρισμός είναι αξιόπιστος.
Πώς καταλαβαίνετε ότι υπάρχει malware στον ιστότοπο
Ο κακόβουλος κώδικας στους ιστοτόπους γίνεται συχνά αντιληπτός μόνο έμμεσα. Τυπικές είναι οι ανακατευθύνσεις σε ξένες σελίδες, το περιεχόμενο spam που είναι ορατό μόνο στις μηχανές αναζήτησης ή στις κινητές συσκευές, μια προειδοποίηση της Google στα αποτελέσματα αναζήτησης, παράπονα πελατών ή αποκλεισμός από τον πάροχο φιλοξενίας λόγω αποστολής spam. Στον διακομιστή εμφανίζονται άγνωστα αρχεία PHP, νέοι λογαριασμοί διαχειριστή, αλλαγμένα αρχεία .htaccess ή ανεξήγητα cronjobs.
Μετά το PHP2Shell προστίθεται μια ακόμη ανησυχία: μέσω των CVE-2026-109618 και CVE-2026-109619 οι επιτιθέμενοι μπορούν να εκτελέσουν κώδικα χωρίς σύνδεση. Δεν υπάρχουν δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise· ο εντοπισμός βασίζεται σε ανάλυση συμπεριφοράς. Πώς μοιάζουν τυπικά τα webshells και πού βρίσκονται, περιγράφει το Εντοπισμός και αφαίρεση webshells.
Αφαίρεση malware από τον ιστότοπο: γιατί η σχολαστικότητα μετρά περισσότερο από την ταχύτητα
Οι επιτιθέμενοι σπάνια αφήνουν μόνο ένα αρχείο. Συνήθεις είναι περισσότερες κερκόπορτες σε διαφορετικά σημεία: σε φακέλους uploads, σε plugins ή themes, σε must-use plugins, στη βάση δεδομένων, σε cronjobs ή σε πρόσθετους λογαριασμούς χρηστών. Αν διαγραφεί μόνο το πιο εμφανές αρχείο, ο κακόβουλος κώδικας επιστρέφει.
Ταυτόχρονα η προσβεβλημένη κατάσταση αποτελεί αποδεικτικό στοιχείο. Όποιος καθαρίζει βιαστικά, χάνει τη δυνατότητα να διαπιστώσει αν θίγονται δεδομένα πελατών. Γι' αυτό διασώζουμε πριν από κάθε αλλαγή. Αυτό κοστίζει λίγο χρόνο και κρατά ανοιχτούς όλους τους δρόμους, ακόμη και μια μεταγενέστερη γνωστοποίηση σε εποπτική αρχή ή ασφαλιστική εταιρεία.
Μια ενημέρωση PHP ή CMS δεν αφαιρεί κακόβουλο λογισμικό που βρίσκεται ήδη στον διακομιστή. Και ένας καθαρισμένος ιστότοπος προσβάλλεται ξανά, όσο η πόρτα εισόδου παραμένει ανοιχτή.
Πού κρύβεται τυπικά ο κακόβουλος κώδικας
Τα παρακάτω σημεία τα ελέγχουμε σε κάθε καθαρισμό, επειδή στην πράξη επηρεάζονται ξανά και ξανά:
| Σημείο | Τυπικό εύρημα |
|---|---|
| Φάκελοι uploads | αρχεία PHP με αθώα ονόματα ή μεταμφιεσμένα ως εικόνα |
| Plugins, themes, modules | πρόσθετα αρχεία ή αλλαγμένα πρωτότυπα αρχεία |
| Διαμόρφωση | γραμμές που εισήχθησαν στα .htaccess, .user.ini ή στα αρχεία εισόδου |
| Βάση δεδομένων | ξένοι λογαριασμοί διαχειριστή, σενάρια σε περιεχόμενο ή επιλογές |
| Σύστημα | cronjobs, πρόσθετα κλειδιά SSH, διεργασίες χωρίς εμφανή σκοπό |
| Caches και προσωρινοί φάκελοι | αντίγραφα κακόβουλου κώδικα που εμφανίζονται ξανά μετά τη διαγραφή |
Σημασία έχει η συνάφεια: ένα μεμονωμένο εύρημα σπάνια εξηγεί ολόκληρο το περιστατικό. Μόνο η συνολική εικόνα δείχνει πώς ενήργησε ο επιτιθέμενος και αν πήρε μαζί του στοιχεία πρόσβασης.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διάσωση: Δημιουργούμε αντίγραφο αρχείων, βάσης δεδομένων και logs στην προσβεβλημένη κατάσταση. Παραμένει διαθέσιμο για μεταγενέστερη αξιολόγηση.
- Αναζήτηση: Συγκρίνουμε τα αρχεία του προγράμματος με τα πρωτότυπα του κατασκευαστή, ελέγχουμε τους φακέλους uploads για εκτελέσιμο κώδικα, εξετάζουμε τη βάση δεδομένων, τα cronjobs, τους λογαριασμούς χρηστών και τη διαμόρφωση του διακομιστή. Για περιβάλλοντα WordPress ακολουθούμε τη διαδικασία που περιγράφεται στο Εντοπισμός κερκόπορτων στο WordPress.
- Καθαρισμός: Επανεγκαθιστούμε τον πυρήνα, τις επεκτάσεις και τα themes από αξιόπιστες πηγές, αντί να μπαλώνουμε ένα προς ένα ύποπτα αρχεία. Το δικό σας περιεχόμενο και τα uploads τα ελέγχουμε χωριστά και μεταφέρουμε μόνο ό,τι είναι ασφαλές.
- Κλείσιμο της αιτίας: Εφαρμόζουμε patch στην PHP και την εφαρμογή, αφαιρούμε ξένους λογαριασμούς και αντικαθιστούμε όλα τα στοιχεία πρόσβασης και τα κλειδιά που μπορεί να είδε ο επιτιθέμενος.
- Μεταγενέστερος έλεγχος: Παρακολουθούμε τον ιστότοπο μετά τον καθαρισμό για νέες αλλαγές και σας υποστηρίζουμε ώστε να ελεγχθεί μια προειδοποίηση της Google μέσω του Search Console. Περισσότερα στο Αφαίρεση προειδοποίησης Google.
Για διαχειριστές, μια αβλαβής πρώτη ματιά στα αρχεία PHP που άλλαξαν πρόσφατα:
# αρχεία PHP στον κατάλογο web που τροποποιήθηκαν τις τελευταίες 10 ημέρες
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
Το αποτέλεσμα είναι ένδειξη, όχι απόδειξη: οι επιτιθέμενοι μπορούν να αλλάξουν τις χρονοσφραγίδες.
Τι λαμβάνετε και τι χρειαζόμαστε
Λαμβάνετε μια αναφορά με τα κακόβουλα στοιχεία που βρέθηκαν και τη θέση τους, τα μέτρα καθαρισμού, τη λίστα των στοιχείων πρόσβασης που αντικαταστάθηκαν και την πιθανή πόρτα εισόδου. Διαχωρίζουμε σαφώς τι είναι τεκμηριωμένο, τι πιθανό και τι άγνωστο.
Χρειαζόμαστε από εσάς:
- πρόσβαση στον διακομιστή ή στον πίνακα ελέγχου φιλοξενίας, στο backend του CMS και στη βάση δεδομένων
- έναν υπεύθυνο επικοινωνίας, που μπορεί να εγκρίνει αλλαγές κωδικών και απενεργοποιήσεις
- πληροφορίες για το πρακτορείο, τον προγραμματιστή ή τον πάροχο φιλοξενίας και για δικές σας προσαρμογές στο σύστημα
- υπάρχοντα αντίγραφα ασφαλείας με ημερομηνία, ώστε να εκτιμήσουμε ποια κατάσταση μπορεί να είναι καθαρή
- πρόσβαση στο Google Search Console, αν εμφανίζεται προειδοποίηση
Τι δεν υποσχόμαστε
Δεν υποσχόμαστε ότι κάθε κερκόπορτα θα βρεθεί με βεβαιότητα σε κάθε σύστημα, όταν λείπουν logs ή η προσβολή χρονολογείται από παλιά. Όταν η κατάσταση είναι ασαφής, συνιστούμε την ανακατασκευή σε φρέσκο διακομιστή, στον οποίο μεταφέρεται μόνο ελεγμένο περιεχόμενο. Είναι πιο επίπονο, αλλά συχνά ο πιο αξιόπιστος δρόμος. Ούτε προβλέπουμε πότε η Google ή άλλες υπηρεσίες θα αφαιρέσουν μια προειδοποίηση· αυτό το αποφασίζουν οι πάροχοί τους.
Όταν πρέπει να διευκρινιστεί με νομική ισχύ τι ακριβώς συνέβη και ποια δεδομένα θίγονται, προσλαμβάνουμε την ψηφιακή εγκληματολογία (IT forensics) με εξειδικευμένους συνεργάτες. Σε μια οξεία επίθεση που εξελίσσεται ακόμη, η εργασία ξεκινά με την επείγουσα βοήθεια για παραβιασμένο ιστότοπο.
Συχνές ερωτήσεις
Αρκεί ένα plugin σάρωσης malware για να καθαρίσει ο ιστότοπός μου;
Ένας σαρωτής βρίσκει γνωστά μοτίβα, όχι όμως κάθε κερκόπορτα. Τα webshells είναι συχνά συγκεκαλυμμένα, βρίσκονται σε εικόνες, caches ή στη βάση δεδομένων ή είναι αγκυρωμένα ως cronjob. Ένας σαρωτής είναι βοήθημα, όχι πλήρης καθαρισμός.
Μπορώ απλώς να επαναφέρω ένα παλιό αντίγραφο ασφαλείας;
Μόνο αν είναι βέβαιο ότι το αντίγραφο δημιουργήθηκε πριν από την εισβολή και αν η πόρτα εισόδου κλείσει στη συνέχεια. Διαφορετικά ο ιστότοπος είναι για λίγο καθαρός και προσβάλλεται ξανά από τον ίδιο δρόμο.
Γιατί το malware εμφανίζεται ξανά και ξανά μετά τη διαγραφή;
Συνήθως υπάρχει μια δεύτερη κερκόπορτα, ένα cronjob, ένας παραποιημένος λογαριασμός διαχειριστή ή η ευπάθεια παραμένει ανοιχτή. Μόνο όταν βρεθούν όλοι οι μηχανισμοί επιμονής και αρθεί η αιτία, ο καθαρισμός διατηρείται.
Αφαιρεί μια ενημέρωση PHP το υπάρχον malware;
Όχι. Ένα patch κλείνει την ευπάθεια, αλλά δεν αφαιρεί κακόβουλο λογισμικό που έχει ήδη εισαχθεί. Πρόκειται για δύο χωριστά βήματα εργασίας.