In breve: se il Suo hoster ha bloccato il sito, di solito è un indizio di codice dannoso o di abuso, ma può anche essere prudenza. Di norma lo sblocco avviene solo quando la causa è stata eliminata. È stato colpito? Ci contatti subito. Chiariamo la situazione da remoto, bonifichiamo l'account e concordiamo la riattivazione con il Suo hoster.
Ora non cancelli nulla e non reinstalli nulla. Nemmeno su richiesta dell'hoster. Tracce, log e file devono essere conservati finché tutto non è stato salvato. Ci chiami o ci scriva su WhatsApp, oppure usi Segnala l'emergenza.
Il Suo sito è stato bloccato?
Un blocco si manifesta in modi molto diversi:
- il sito non è raggiungibile o mostra una pagina di avviso dell'hoster
- un'email o un ticket parla di «malware», «abuse», «phishing» o «spam»
- il pannello di hosting è bloccato, FTP e posta non funzionano più
- sono disattivate solo singole funzioni, ad esempio l'esecuzione di PHP o l'invio di posta
- il sito funziona, ma l'hoster pretende misure entro un termine
Legga con attenzione la comunicazione: spesso vi compaiono nomi di file, momenti o segnalazioni importanti per l'analisi. Chi è stato spento in via precauzionale lo riconosce di solito dal fatto che l'hoster non cita alcun file concreto. Anche qui resta valida la verifica, perché uno spegnimento da solo non dimostra né l'infezione né la sua assenza.
Che cosa fare subito
- Salvare la comunicazione dell'hoster: conservi email, ticket e screenshot con la data. Quale termine è stato indicato?
- Non bonificare di propria iniziativa. Chi cancella o ricarica file può distruggere tracce e rischia un nuovo blocco.
- Chiedere cortesemente all'hoster quanto segue: indicare i punti di ritrovamento, conservare i log del periodo, mantenere l'accesso in lettura o tramite esportazione del backup. Un modello per la richiesta lo trova in Come chiedere al Suo hoster lo stato della patch.
- Controllare l'invio di posta: se lo spam è partito dal server, i blocchi altrimenti restano. Indicazioni sulla causa le dà Il server invia spam.
- Annotare gli accessi: pannello, FTP, SSH, database, backend del CMS. Cambiare le password solo dopo averlo concordato.
- Chiarire le conseguenze per l'attività: la raggiungibilità del sito o della posta è critica per la Sua attività? Allora ce lo dica subito.
- Contattarci, prima di lasciar scadere i termini o di cambiare hoster.
In concreto, come aiuta PHP SOS?
- Quadro della situazione: leggiamo la comunicazione dell'hoster, chiariamo account, portata e sistemi e discutiamo quali funzioni sono ancora raggiungibili.
- Salvare e contenere: nella misura in cui l'hoster concede l'accesso, salviamo file, database e log e scolleghiamo gli accessi che non sono più affidabili.
- Verificare e bonificare: cerchiamo web shell, file manipolati, account estranei e meccanismi che ricaricano codice dannoso. Il procedimento corrisponde a Rimozione di malware e web shell.
- Chiudere il punto d'ingresso e dimostrarlo: chiariamo come l'aggressore sia entrato e chiudiamo la vulnerabilità. Poi redigiamo una descrizione comprensibile che può consegnare all'hoster per la riattivazione.
- Coordinare e rafforzare: se lo consente, parliamo con il Suo hoster, accompagniamo lo sblocco e diamo raccomandazioni per l'esercizio duraturo.
Come trattiamo l'incidente in generale lo descrive la pagina Sito web violato: assistenza urgente.
Chi è responsabile per i siti bloccati?
Con l'hosting condiviso l'hoster controlla server e PHP, Lei controlla i Suoi file e le Sue applicazioni. Il fatto che l'hoster reagisca a PHP2Shell non significa che il Suo sito sia pulito. Viceversa, ciò non esonera il Suo hoster dai propri obblighi. La ripartizione è descritta in Hosting condiviso: che cosa fa l'hoster e che cosa deve fare Lei. Dopo un blocco vale la pena chiedere quale versione di PHP sia davvero in funzione e se lo stato della patch sia confermato. Non facciamo affermazioni su quanto un determinato hoster abbia applicato le patch. Deve confermarlo lui stesso per iscritto.
Un cambio può essere sensato, ma solo dopo la bonifica e non come via di fuga, vedi Cambiare hoster dopo un incidente. Se anche Google ha segnalato il sito, Rimuovere l'avviso di Google descrive la strada successiva. Che le organizzazioni mettano precauzionalmente offline i propri siti è un modello noto; che cosa le aziende ne possano imparare è spiegato in Le autorità mettono offline i siti web.
Che cosa gli hoster di solito vogliono vedere per lo sblocco
Ogni hoster procede in modo diverso, ma l'aspettativa è simile: deve mostrare di aver compreso ed eliminato la causa, non solo il sintomo. Sono abituali una breve descrizione dei ritrovamenti, la conferma che il codice dannoso è stato rimosso e le credenziali sono state cambiate, e l'indicazione di quale software è stato aggiornato. Alcuni fornitori verificano poi l'account da sé, altri richiedono un ulteriore ticket. Prepariamo questa documentazione in modo che possa inoltrarla senza competenze tecniche. Quali impegni assuma il Suo hoster e con quale rapidità reagisca lo decide lui; non abbiamo alcuna influenza al riguardo e lo diciamo apertamente.
Che cosa dovrebbe inviarci
- la comunicazione dell'hoster nel suo testo, con data ed eventuale termine indicato
- nome dell'hoster, piano tariffario e, se nota, la versione di PHP
- indirizzo del sito web e altri siti nello stesso account
- quali funzioni sono bloccate (sito web, posta, pannello, FTP)
- contatto dell'agenzia o dello sviluppatore, se esiste
Perché PHP SOS
Lavoriamo Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Ha un unico interlocutore che segue il Suo caso ed è raggiungibile per domande da parte del Suo hoster. Lavoriamo da remoto, senza trasferte, in tutta la Germania e in Europa. Tutto viene documentato; non facciamo promesse sulla durata, perché dipende da hoster ed esito. Lavoriamo finché l'incidente non è concluso e documentato.
È stato colpito? Ci chiami. La aiutiamo.
Un blocco è fastidioso, ma è un chiaro motivo per agire. Ci contatti subito, per telefono o WhatsApp, e ce ne occupiamo dal primo messaggio. Segnali subito l'emergenza
Domande frequenti
Perché il mio hoster ha bloccato il mio sito?
Le cause abituali sono codice dannoso nell'account, invio di spam, carico insolitamente alto o attacchi che partono dal Suo server. L'hoster protegge così gli altri clienti. Un'indicazione sul blocco si trova di solito nella comunicazione o nell'area clienti.
Un blocco significa che il mio sito è stato davvero hackerato?
Non in ogni caso. Alcuni fornitori hanno messo offline siti anche in via precauzionale in relazione a PHP2Shell. Che cosa ci sia davvero lo mostra solo una verifica. La comunicazione di blocco è un primo indizio, ma non completo.
Posso chiedere all'hoster di revocare semplicemente il blocco?
Si può provare, ma di solito con poco successo se nulla è stato bonificato. Molti hoster pretendono una spiegazione o la prova dell'avvenuta bonifica. Se si sblocca senza eliminare la causa, c'è il rischio di un nuovo blocco.
Devo passare a un altro hoster?
Non in modo precipitoso. Un trasloco porta con sé il codice dannoso se questo viene trasferito, e distrugge tracce. Prima bonificare e chiarire la causa, poi decidere sull'hoster.
Quanto tempo ci vuole perché il mio sito torni online?
Dipende dall'entità dell'infezione, dallo stato dei log e dalla reazione dell'hoster; per questo non indichiamo scadenze. Dopo la prima valutazione Le diremo che cosa fare e quali passaggi dipendono dall'hoster.