Krótko: Jeśli Google, przeglądarka, hostingodawca lub klient ostrzega przed Państwa stroną, na serwerze działa bardzo prawdopodobnie obcy kod. Jeśli są Państwo dotknięci, proszę zgłosić się teraz. Wyjaśniamy zdalnie, co jest udostępniane, zabezpieczamy ślady, usuwamy złośliwy kod, zamykamy dostęp i towarzyszymy Państwu aż do ponownego udostępnienia.
Teraz niczego nie usuwać i niczego nie instalować od nowa. W razie potrzeby proszę przełączyć stronę w tryb konserwacji, aby chronić odwiedzających, i pozostawić pliki oraz logi bez zmian. Zgłoś awarię, a przejmiemy sprawę od pierwszej wiadomości.
Czy są Państwo dotknięci? Tak wygląda strona, która rozsyła malware
Strona rozsyłająca złośliwe oprogramowanie lub spam rzadko zwraca uwagę widoczną usterką. Zwykle najpierw zgłaszają się inni. Typowe wskazówki:
- Przeglądarka wyświetla przed Państwa domeną czerwoną stronę ostrzegawczą, na przykład „Deceptive site ahead” lub komunikat o szkodliwym oprogramowaniu.
- W Google Search Console widnieje komunikat o bezpieczeństwie albo Państwa strona pojawia się w wynikach wyszukiwania z dopiskiem „Ta witryna może uszkodzić Twój komputer”.
- Odwiedzający zgłaszają wyskakujące okienka, nieoczekiwane przekierowania lub pobierania, które występują tylko na urządzeniach mobilnych albo tylko po kliknięciu z wyszukiwarki.
- Wyniki wyszukiwania pokazują strony, których Państwo nigdy nie utworzyli, na przykład reklamy leków lub hazardu w obcym języku.
- Państwa hostingodawca pisze z powodu nadużycia, wysyłania spamu lub podejrzanych połączeń wychodzących.
- E-maile Państwa firmy trafiają u odbiorcy do spamu albo wraca podejrzanie dużo błędów doręczenia.
- Państwa skaner antywirusowy niczego nie zgłasza, a skargi mimo to nie ustają.
Kilka z tych punktów łącznie silnie wskazuje na skompromitowanie. Pojedyncza wskazówka może mieć także niegroźną przyczynę. Mimo to warto to sprawdzić, ponieważ każdy dzień ze stroną ostrzegawczą kosztuje odwiedzających, zapytania i zaufanie.
Co należy zrobić teraz
- Chronić odwiedzających: Proszę przełączyć stronę w tryb konserwacji lub poprosić hostingodawcę o czasowe zablokowanie, jeśli złośliwy kod jest aktywnie udostępniany.
- Niczego nie usuwać: Bez usuwania plików, bez przywracania kopii zapasowej, bez ponownej instalacji na starym stanie, zanim wszystko nie zostanie zabezpieczone.
- Zachować logi: Proszę poprosić hostingodawcę, aby nie nadpisywał dzienników dostępu i błędów.
- Zebrać komunikaty: Proszę zrobić zrzuty ekranu ostrzeżeń, zanotować datę, godzinę i dotknięte adresy.
- Wskazać dostępy: Kto ma dostęp przez CMS, FTP, SSH lub panel hostingu? Hasła zmieniać dopiero po uzgodnieniu i tylko z czystego urządzenia.
- Poinformować wewnętrznie: Zarząd, inspektor ochrony danych, a przy istniejącej polisie ubezpieczyciel powinni wiedzieć o sprawie.
- Jeszcze nie składać wniosku w Google: Weryfikacja daje efekt dopiero po oczyszczeniu.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: Wyjaśniamy, jakie ostrzeżenia występują, od kiedy, oraz które systemy i dane mogą być dotknięte.
- Zabezpieczenie i zamknięcie: Zabezpieczamy pliki, bazę danych i logi, zanim cokolwiek zostanie zmienione. Następnie blokujemy podejrzane dostępy i zatrzymujemy udostępnianie złośliwego kodu.
- Sprawdzenie i oczyszczenie: Porównujemy pliki z czystym stanem, szukamy webshelli, tylnych drzwi i wpisów w bazie danych i je usuwamy. Więcej na ten temat w artykule Usuwanie malware i webshelli.
- Wzmocnienie i raport: Zamykamy drzwi włamania, sprawdzamy stan PHP i dokumentujemy incydent. Towarzyszymy Państwu przy zdejmowaniu blokad i ostrzeżeń.
Pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie.
Dlaczego ostrzeżenie często wraca
Kto usuwa tylko widoczne ślady, leczy objaw. Atakujący zakładają zwykle kilka dostępów: ukryty plik PHP w folderze uploadu, zmanipulowaną wtyczkę, dodatkowe konto administratora lub zaplanowane zadanie cron, które doładowuje usunięte pliki. Jeśli porządkują Państwo tylko tę stronę, którą pokazuje przeglądarka, po kilku dniach ten sam złośliwy kod jest znów na miejscu.
Dochodzi do tego, że wiele szkodników maskuje swoje zachowanie. Udostępniają złośliwy kod tylko odwiedzającym przychodzącym przez wyszukiwarkę albo tylko urządzeniom mobilnym. Właściciel otwiera stronę bezpośrednio i niczego nie widzi. Jak powstają takie przekierowania, opisuje wpis Strona przekierowuje na obce strony, a dlaczego skanery napotykają tu na granice, wyjaśnia artykuł Granice skanerów malware.
Ostrzeżenie Google i spam w indeksie wyszukiwania
Jeśli Google oznaczyło Państwa stronę jako niebezpieczną, zdjęcie oznaczenia odbywa się przez Search Console. Tam składają Państwo wniosek o weryfikację, gdy tylko można wykazać, że serwer jest czysty. Jakie kroki są do tego sensowne, wyjaśnia poradnik Usunięcie ostrzeżenia Google. Jeśli atakujący dodatkowo utworzyli strony ze spamem w Państwa imieniu, do sprawy należy ich usunięcie z indeksu; wskazówki znajdą Państwo w artykule Spam SEO w indeksie Google.
Jeśli Państwa serwer wysyła spam, zwykle nadużyto formularza, skryptu lub konta pocztowego. Wtedy warto zajrzeć do artykułu Serwer rozsyła spam, ponieważ reputacja Państwa domeny i adresu IP spada z każdą kolejną wiadomością.
Jak ujawniają się webshelle, przeczytają Państwo w artykule Rozpoznawanie webshelli. Od czasu PHP2Shell dochodzi dodatkowe pytanie: aktualizacja zamyka lukę, ale nie usuwa szkodliwego oprogramowania, które już się tam znajduje. Dotyczy to jednakowo, według sytuacji opisanej przez BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji) i prasy branżowej.
Co warto nam przesłać
- komunikaty w brzmieniu dosłownym lub jako zrzut ekranu, z datą
- dotknięte adresy oraz, jeśli znane, drogi dostępu (panel hostingu, SSH, CMS)
- nazwy agencji, programistów i hostingodawcy, którzy znają system
- informacje o tym, co ostatnio zmieniono: aktualizacje, nowe wtyczki, nowi pracownicy z dostępem
- dane o kopiach zapasowych i ich wieku
- osobę uprawnioną do decyzji, która jest osiągalna
Niepełne informacje nie są przeszkodą. Dopytamy o to, czego brakuje.
Dlaczego PHP SOS
Jesteśmy usługodawcą w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo stałą osobę kontaktową, pracujemy zdalnie i dokumentujemy każdy krok, tak aby mieli Państwo dowody wobec hostingodawcy, ubezpieczyciela i klientów. Nie obiecujemy niczego, czego nikt nie może dotrzymać, i mówimy otwarcie, co jest udowodnione, prawdopodobne lub nieznane. Nie udzielamy porad prawnych; pytania o odpowiedzialność i obowiązki zgłoszeniowe należą do inspektora ochrony danych i prawnika.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Jeśli Państwa strona ostrzega odwiedzających, udostępnia złośliwy kod lub wysyła spam, liczy się każdy dzień, w którym tak działa w sieci. Proszę zgłosić się teraz: proszę zadzwonić lub napisać na WhatsApp. Przejmujemy sprawę od pierwszej wiadomości i zostajemy przy niej, aż incydent zostanie zakończony i udokumentowany. Zgłoś awarię teraz
Częste pytania
Dlaczego przeglądarka pokazuje ostrzeżenie przed moją stroną?
Przeglądarki korzystają z list znanych niebezpiecznych stron. Jeśli Państwa domena się tam znajduje, przeglądarka blokuje wejście czerwoną stroną ostrzegawczą. Zwykle stoi za tym obcy kod na serwerze, który przekierowuje odwiedzających lub doładowuje szkodliwe oprogramowanie.
Czy wystarczy zgłosić w Google, że ostrzeżenie jest już nieaktualne?
Nie. Weryfikacja w Google coś daje tylko wtedy, gdy złośliwy kod został wcześniej całkowicie usunięty, a drzwi włamania zamknięte. W przeciwnym razie ostrzeżenie wkrótce pojawi się ponownie, a odrzucony wniosek kosztuje czas.
Mój skaner antywirusowy niczego nie znajduje, a ostrzeżenie pozostaje. Z czego to wynika?
Skanery rozpoznają przede wszystkim znane wzorce. Złośliwy kod, który jest udostępniany tylko określonym odwiedzającym, wyszukiwarkom lub urządzeniom, często pozostaje niewykryty. Wtedy pomaga tylko porównanie plików z czystym stanem i analiza logów.
Dlaczego e-maile mojej firmy nagle trafiają do folderu spam?
Jeśli Państwa serwer lub konto zostało użyte do wysyłania spamu, spada reputacja Państwa domeny i adresu IP. Serwery odbiorców zaczynają wtedy klasyfikować Państwa wiadomości jako podejrzane. Reputację można odbudować dopiero po oczyszczeniu.
Czy mogę po prostu wyłączyć swoją stronę?
Tak, a przy aktywnym udostępnianiu złośliwego kodu jest to często rozsądne, aby chronić odwiedzających. Nie należy jednak niczego usuwać. Logi i pliki pokazują, jak atakujący się dostał.