In breve: se Google, il Suo browser, il Suo hoster o un cliente segnala un problema al Suo sito, con ogni probabilità sul Suo server gira codice estraneo. Se è colpito, ci contatti subito. Chiariamo da remoto che cosa viene distribuito, conserviamo le tracce, rimuoviamo il codice dannoso, chiudiamo l'accesso e La accompagniamo fino alla nuova autorizzazione.
Ora non cancelli nulla e non reinstalli nulla. Se necessario metta il sito in modalità di manutenzione, così i visitatori sono protetti, e lasci invariati file e log. Segnali l'emergenza e ce ne occupiamo dal primo messaggio.
È stato colpito? Come si manifesta un sito che diffonde malware
Un sito che diffonde software dannoso o spam si nota raramente per un difetto visibile. Di solito sono altri a farsi sentire per primi. Indizi tipici:
- Il browser mostra davanti al Suo dominio una pagina rossa di avviso, ad esempio «Deceptive site ahead» o un messaggio su software dannoso.
- In Google Search Console c'è una segnalazione di sicurezza, oppure la Sua pagina compare nei risultati di ricerca con l'aggiunta «Questo sito potrebbe danneggiare il tuo computer».
- I visitatori riferiscono pop-up, reindirizzamenti inattesi o download che compaiono solo su dispositivi mobili o solo dopo un clic dalla ricerca.
- I Suoi risultati di ricerca mostrano pagine che non ha mai creato, ad esempio pubblicità di farmaci o gioco d'azzardo in una lingua straniera.
- Il Suo hoster scrive per abuso, invio di spam o connessioni in uscita anomale.
- Le email della Sua azienda finiscono presso i destinatari nello spam, oppure tornano indietro molti errori di recapito.
- Il Suo antivirus non segnala nulla, ma le lamentele non cessano.
Più di questi punti insieme indicano con forza una compromissione. Un singolo indizio può avere anche una causa innocua. Conviene comunque farlo verificare, perché ogni giorno con una pagina di avviso costa visitatori, richieste e fiducia.
Che cosa fare subito
- Proteggere i visitatori: metta il sito in modalità di manutenzione o lo faccia bloccare temporaneamente dall'hoster se il codice dannoso viene distribuito attivamente.
- Non cancellare nulla: nessuna rimozione di file, nessun ripristino di backup, nessuna reinstallazione sopra lo stato precedente prima che sia stato fatto un salvataggio.
- Conservare i log: chieda al Suo hoster di non sovrascrivere i registri di accesso e di errore.
- Raccogliere le segnalazioni: faccia screenshot degli avvisi, annoti data, ora e indirizzi interessati.
- Indicare gli accessi: chi ha accesso tramite CMS, FTP, SSH o pannello di hosting? Cambi le password solo dopo averlo concordato e soltanto da un dispositivo pulito.
- Informare internamente: direzione, responsabile della protezione dei dati e, se esiste una polizza, l'assicuratore dovrebbero essere al corrente.
- Non presentare ancora la richiesta a Google: un riesame serve solo dopo la bonifica.
In concreto, come aiuta PHP SOS?
- Quadro della situazione: chiariamo quali avvisi ci sono, da quando, e quali sistemi e dati possono essere coinvolti.
- Salvare e chiudere: salviamo file, database e log prima che venga modificato qualcosa. Poi blocchiamo gli accessi sospetti e fermiamo la distribuzione del codice dannoso.
- Verificare e bonificare: confrontiamo i file con uno stato pulito, cerchiamo web shell, backdoor e voci nel database e li rimuoviamo. Maggiori informazioni in Rimozione di malware e web shell.
- Rafforzare e riferire: chiudiamo la porta d'ingresso, verifichiamo lo stato di PHP e documentiamo l'incidente. La accompagniamo nella revoca di blocchi e avvisi.
Lavoriamo da remoto, senza trasferte, in tutta la Germania e in Europa.
Perché l'avviso spesso ritorna
Chi elimina solo le tracce visibili tratta il sintomo. Gli aggressori creano di solito più accessi: un file PHP nascosto in una cartella di upload, un plugin manipolato, un account admin aggiuntivo o un cronjob pianificato che ricarica i file cancellati. Se mette in ordine solo la pagina che mostra il browser, pochi giorni dopo lo stesso codice dannoso è di nuovo lì.
A ciò si aggiunge che molti parassiti mascherano il proprio comportamento. Distribuiscono codice dannoso solo ai visitatori che arrivano da un motore di ricerca, o solo ai dispositivi mobili. Il titolare apre il sito direttamente e non vede nulla. Come nascano questi reindirizzamenti lo descrive l'articolo Il sito reindirizza a pagine estranee, e perché gli scanner incontrino qui dei limiti lo spiega Limiti degli scanner antimalware.
Avviso di Google e spam nell'indice di ricerca
Se Google ha segnato la Sua pagina come pericolosa, la revoca passa dalla Search Console. Lì richiede un riesame non appena il server è dimostrabilmente pulito. Quali passaggi siano sensati lo spiega la guida Rimuovere l'avviso di Google. Se gli aggressori hanno creato in aggiunta pagine di spam a nome Suo, ne fa parte la rimozione dall'indice; indicazioni in SEO spam nell'indice di Google.
Se il Suo server invia spam, di solito è stato abusato un modulo, uno script o un account di posta. Allora conviene guardare Il server invia spam, perché la reputazione del Suo dominio e del Suo indirizzo IP peggiora a ogni ulteriore email.
Come si manifestano le web shell lo legge in Riconoscere le web shell. Con PHP2Shell si aggiunge un'ulteriore questione: un aggiornamento chiude la vulnerabilità, ma non rimuove il malware già presente. Lo affermano allo stesso modo la situazione descritta dal BSI (l'Ufficio federale tedesco per la sicurezza informatica) e la stampa specializzata.
Che cosa dovrebbe inviarci
- le segnalazioni nel loro testo o come screenshot, con data
- gli indirizzi interessati e, se noti, le vie di accesso (pannello di hosting, SSH, CMS)
- nomi di agenzia, sviluppatori e hoster che conoscono il sistema
- indicazioni su che cosa è stato modificato per ultimo: aggiornamenti, nuovi plugin, nuovi collaboratori con accesso
- informazioni sui backup e sulla loro data
- una persona con potere decisionale che sia raggiungibile
Indicazioni incomplete non sono un ostacolo. Chiediamo noi ciò che manca.
Perché PHP SOS
Siamo un fornitore Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Ha un interlocutore fisso, lavoriamo da remoto e documentiamo ogni passaggio, così che abbia prove da presentare a hoster, assicuratore e clienti. Non promettiamo nulla che nessuno possa mantenere e diciamo apertamente che cosa è provato, probabile o sconosciuto. Non forniamo consulenza legale; le domande su responsabilità e obblighi di notifica spettano al responsabile della protezione dei dati e all'avvocato.
È stato colpito? Ci chiami. La aiutiamo.
Se il Suo sito avverte i visitatori, distribuisce codice dannoso o invia spam, conta ogni giorno in cui resta così in rete. Ci contatti subito: ci chiami o ci scriva su WhatsApp. Ce ne occupiamo dal primo messaggio e restiamo accanto a Lei finché l'incidente non è concluso e documentato. Segnali subito l'emergenza
Domande frequenti
Perché il browser mostra un avviso sul mio sito?
I browser ricorrono a elenchi di pagine pericolose note. Se il Suo dominio vi figura, il browser blocca l'apertura con una pagina rossa di avviso. Dietro c'è di solito codice estraneo sul server che reindirizza i visitatori o scarica software dannoso.
Basta segnalare a Google l'avviso come risolto?
No. Un riesame presso Google serve solo se il codice dannoso è stato prima rimosso completamente e la porta d'ingresso chiusa. Altrimenti l'avviso ricompare poco dopo, e una richiesta respinta fa perdere tempo.
Il mio antivirus non trova nulla, ma l'avviso resta. Come mai?
Gli scanner riconoscono soprattutto modelli noti. Il codice dannoso che viene consegnato solo a determinati visitatori, motori di ricerca o dispositivi spesso passa inosservato. Allora aiutano solo un confronto dei file con uno stato pulito e l'analisi dei log.
Perché le email della mia azienda finiscono all'improvviso nella cartella dello spam?
Se il Suo server o il Suo account è stato abusato per inviare spam, la reputazione del Suo dominio e del Suo indirizzo IP cala. I server dei destinatari classificano allora le Sue email come sospette. Solo dopo la bonifica la reputazione si può ricostruire.
Posso semplicemente mettere offline il mio sito?
Sì, e quando il codice dannoso viene distribuito attivamente è spesso sensato, per proteggere i visitatori. Non cancelli però nulla. Log e file mostrano come l'aggressore sia entrato.