Fil-qosor: Jekk tixtiequ li l-malware jitneħħa mill-websajt tagħkom, ma jkunx biżżejjed li jitħassru fajls individwali. L-ewwel insalvaw is-sejba, insibu webshells, backdoors u kompiti moħbija, nibnu mill-ġdid minn sorsi affidabbli u nagħlqu l-bieb tad-dħul. Biss imbagħad it-tindif ikun jista' jiġi fdat.
Kif tagħrfu l-malware fuq il-websajt
Kodiċi malizzjuż fuq websajts ta' spiss jinnota biss indirettament. Tipiċi huma rindirizzamenti lejn paġni barranin, kontenut tal-ispam li jidher biss lill-magni tat-tiftix jew lill-apparati mobbli, twissija ta' Google fir-riżultat tat-tiftix, ilmenti mill-klijenti jew blokk mill-hoster minħabba ibgħat ta' spam. Fuq is-server jidhru fajls mhux magħrufa tal-PHP, kontijiet ġodda ta' amministratur, fajls .htaccess mibdula jew cronjobs mhux spjegati.
Wara PHP2Shell tiżdied tħassib ieħor: permezz ta' CVE-2026-109618 u CVE-2026-109619 l-attakkanti jistgħu jesegwixxu kodiċi mingħajr login. Ma hemm ebda Indicators of Compromise ippubblikati u kkonfermati; is-skoperta tistrieħ fuq analiżi tal-imġiba. Kif jidhru tipikament il-webshells u fejn jinsabu jiddeskrivih Kif tagħrfu u tneħħu l-webshells.
Tneħħija tal-malware mill-websajt: għaliex il-bir-reqqa hu aktar importanti mill-ħeffa
L-attakkanti rarament iħallu fajl wieħed biss. Normalment ikun hemm diversi backdoors f'postijiet differenti: f'folders tal-upload, f'plugins jew themes, f'must-use plugins, fid-database, f'cronjobs jew f'kontijiet addizzjonali ta' utenti. Jekk jitħassar biss l-aktar fajl evidenti, il-kodiċi malizzjuż jirritorna.
Fl-istess ħin l-istat infettat huwa evidenza. Min inaddaf bla ħsieb jitlef il-possibbiltà li jistabbilixxi jekk data tal-klijenti ġietx affettwata. Għalhekk insalvaw qabel kull bidla. Dan jieħu ftit ħin u jżomm miftuħa l-għażliet kollha, anke notifika aktar tard lill-awtorità superviżorja jew lill-assikuratur.
Aġġornament ta' PHP jew tas-CMS ma jneħħix software malizzjuż li diġà jinsab fuq is-server. U websajt imnaddfa terġa' tiġi infettata sakemm il-bieb tad-dħul jibqa' miftuħ.
Fejn jinħeba tipikament il-kodiċi malizzjuż
Il-postijiet li ġejjin niċċekkjawhom f'kull tindif, għax fil-prattika jiġu affettwati kontinwament:
| Post | Sejba tipika |
|---|---|
| Folders tal-upload | fajls tal-PHP b'ismijiet li jidhru innoċenti jew moħbija bħala immaġini |
| Plugins, themes, moduli | fajls addizzjonali jew fajls oriġinali mibdula |
| Konfigurazzjoni | linji mdaħħla f'.htaccess, .user.ini jew fil-fajls tad-dħul |
| Database | kontijiet barranin ta' amministratur, skripts fil-kontenut jew fl-għażliet |
| Sistema | cronjobs, ċwievet SSH addizzjonali, proċessi mingħajr skop rikonoxxibbli |
| Caches u folders temporanji | kopji tal-kodiċi malizzjuż li jerġgħu jidhru wara t-tħassir |
Importanti hu l-kuntest: sejba waħda rarament tispjega l-inċident kollu. Biss l-istampa sħiħa turi kif aġixxa l-attakkant u jekk ħa kredenzjali miegħu.
Kif tgħin PHP SOS b'mod konkret?
- Insalvaw: Noħolqu kopja tal-fajls, tad-database u tal-logs fl-istat infettat. Tibqa' disponibbli għal evalwazzjoni aktar tard.
- Infittxu: Inqabblu l-fajls tal-programm mal-oriġinali tal-manifattur, niċċekkjaw il-folders tal-upload għal kodiċi eżegwibbli, infittxu fid-database, fil-cronjobs, fil-kontijiet tal-utenti u fil-konfigurazzjoni tas-server. Għal ambjenti ta' WordPress naġixxu kif deskritt f'Kif issib backdoors f'WordPress.
- Innaddfu: Il-qalba, l-estensjonijiet u t-themes nerġgħu ninstallawhom minn sorsi affidabbli, minflok ma ntaffu fajls suspettużi wieħed wieħed. Il-kontenut proprju u l-uploads niċċekkjawhom separatament u nieħdu biss dak li huwa bla periklu.
- Nagħlqu l-kawża: Nipatchjaw PHP u l-applikazzjoni, ineħħu kontijiet barranin u nibdlu l-kredenzjali u ċ-ċwievet kollha li l-attakkant seta' ra.
- Kontroll sussegwenti: Wara t-tindif nosservaw il-websajt għal bidliet ġodda u ngħinukom biex twissija ta' Google tiġi vverifikata permezz tas-Search Console. Aktar dwar dan f'Tneħħija ta' twissija ta' Google.
Għall-amministraturi, l-ewwel ħarsa mingħajr riskju lejn fajls tal-PHP mibdula riċentement:
# Fajls tal-PHP fid-direttorju tal-web li nbidlu fl-aħħar 10 ijiem
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
Ir-riżultat huwa indikazzjoni, mhux prova: l-attakkanti jistgħu jibdlu l-timestamps.
X'tirċievu u x'għandna bżonn
Tirċievu rapport bil-komponenti malizzjużi misjuba u l-post fejn instabu, il-miżuri ta' tindif, il-lista tal-kredenzjali mibdula u l-bieb probabbli tad-dħul. Aħna nifirdu b'mod ċar dak li huwa ppruvat, dak li huwa probabbli u dak li mhux magħruf.
Minnkom għandna bżonn:
- aċċess għas-server jew għall-panel tal-hosting, għall-backend tas-CMS u għad-database
- persuna ta' kuntatt li tista' tapprova l-bidla tal-passwords u t-tfajjar
- informazzjoni dwar l-aġenzija, l-żviluppatur jew il-hoster u dwar adattamenti proprji tas-sistema
- backups eżistenti bid-data, biex nevalwaw liema stat jista' jkun nadif
- aċċess għall-Google Search Console, jekk tintwera twissija
X'ma nwiegħdux
Ma nwiegħdux li kull backdoor fuq kull sistema tinstab b'mod żgur meta l-logs jonqsu jew l-infezzjoni sseħħet żmien twil ilu. Meta s-sitwazzjoni mhix ċara nirrakkomandaw bini mill-ġdid fuq server frisk, li fuqu jitqiegħed biss kontenut ivverifikat. Dan jieħu aktar xogħol, imma ħafna drabi huwa t-triq l-aktar affidabbli. Lanqas ma nbassru meta Google jew servizzi oħra jneħħu twissija; dan jiddeċiduh dawk il-fornituri.
Jekk ikun meħtieġ li jiġi ċċarat b'mod li jiflaħ quddiem il-qorti x'ġara eżattament u liema data ġiet affettwata, ninvolvu l-forensika tal-IT ma' msieħba speċjalizzati. F'attakk akut li għadu għaddej, ix-xogħol jibda bl-għajnuna ta' emerġenza għal websajt hackjata.
Mistoqsijiet frekwenti
Plugin ta' scanner tal-malware huwa biżżejjed biex tinnaddaf il-websajt tiegħi?
Scanner isib mudelli magħrufa, imma mhux kull backdoor. Il-webshells spiss ikunu moħbija, jinsabu fi ħdan immaġini, caches jew id-database jew ikunu ankrati bħala cronjob. Scanner huwa għodda ta' appoġġ, mhux tindif sħiħ.
Nista' sempliċement nerġa' nqiegħed backup qadim?
Biss jekk ikun żgur li l-backup inħoloq qabel id-dħul u jekk wara jiġi mgħolli l-bieb tad-dħul. Inkella l-websajt tkun nadifa għal ftit żmien u terġa' tiġi infettata bl-istess mod.
Għaliex il-malware dejjem jerġa' jidher wara t-tħassir?
Ġeneralment hemm backdoor oħra, cronjob, kont ta' amministratur immanipulat jew il-vulnerabbiltà għadha miftuħa. Biss meta jinstabu l-mekkaniżmi kollha ta' persistenza u titneħħa l-kawża, it-tindif jibqa' f'postu.
Aġġornament ta' PHP jneħħi malware eżistenti?
Le. Patch jagħlaq il-vulnerabbiltà, imma ma jneħħix software malizzjuż li jkun diġà ddaħħal. It-tnejn huma passi ta' xogħol separati.