Stručne: Skener malvéru pre weby nachádza predovšetkým známe vzory v súboroch alebo v doručenej stránke. Nový a zahmlený kód, zadné vrátka v databáze, cudzie účty, cronjoby a kľúče SSH často zostanú neviditeľné. „Nič nenájdené“ preto neznamená „čisté“. Spoľahlivou sa kontrola stáva až kombináciou skenera, porovnania s originálom, kontroly databázy a systému a sledovania správania.
Klamlivý pokoj po zelenom háčiku
Po PHP2Shell urobilo mnoho prevádzkovateľov to, čo je samozrejmé: spustilo skener. Online služba skontroluje úvodnú stránku, bezpečnostný plugin prehľadá webový adresár, výsledok je zelený. Otázka, či sa pred záplatou niečo stalo, sa zdá byť zodpovedaná.
Problém je v princípe. Väčšina skenerov porovnáva obsah so vzormi známeho škodlivého softvéru. Pre zraniteľnosti CVE-2026-109618 a CVE-2026-109619 však neexistujú zverejnené, potvrdené indikátory kompromitácie (Indicators of Compromise); rozpoznanie sa opiera o analýzu správania. Skener nemôže hľadať stopy, ktoré nikto nepozná. Najlepšie nájde všeobecný škodlivý softvér, ktorý sa po vlámaní dodatočne stiahol, ak sleduje známe vzory.
To skenery nerobí bezcennými. Znamená to len, že ich výsledok treba správne zaradiť. Ktoré príznaky počítajú aj mimo skenerov, opisuje Som už kompromitovaný?.
Skenery malvéru pre weby: tri konštrukcie
| Konštrukcia | Čo vidí | Čo nevidí |
|---|---|---|
| Externý skener (online služba) | doručené stránky, vložené skripty, presmerovania, zoznamy blokovaných | súbory, databázu, účty, všetko, čo sa doručuje len za určitých podmienok |
| Skener v CMS (plugin alebo rozšírenie) | súbory vo webovom adresári, sčasti obsah databázy, porovnanie s jadrovými súbormi | úroveň systému, cronjoby, SSH; beží v potenciálne kompromitovanom systéme |
| Skener na serveri (na báze signatúr) | všetky čitateľné súbory, aj mimo webového adresára | neznáme a zahmlené vzory, databázu, účty, správanie |
Externé skenery sú užitočné na rozpoznanie viditeľných následkov, napríklad presmerovaní alebo záznamov v zoznamoch blokovaných. Mnohé hacky však doručujú spamový alebo presmerovací obsah len určitým návštevníkom, napríklad vyhľadávačom alebo mobilným zariadeniam. Skener potom vidí čistú stránku.
Skenery v CMS majú väčší prehľad, ale zásadný problém: bežia v tom istom systéme, ktorý majú kontrolovať. Kód s dostatočnými právami môže ovplyvniť ich výsledky, skryť súbory alebo skener deaktivovať. Serverové skenery pracujú mimo aplikácie, zostávajú však odkázané na vzory.
Čo skenery zásadne prehliadnu
Bez ohľadu na konštrukciu existujú oblasti, ktoré skener súborov alebo stránok sotva pokryje:
- Nový alebo individuálne zahmlený kód: každý variant, ktorý vyzerá inak ako známe vzory, prejde.
- Databáza: skripty v obsahu, zmenené nastavenia, triggery a cudzie účty. Viac v príspevku Kontrola databázy na votknutý kód.
- Prístupy: ďalšie účty administrátorov, kľúče SSH, používatelia databázy, účty v hostingovom paneli.
- Systémové služby a cronjoby: mechanizmy, ktoré pravidelne dosťahujú škodlivý kód.
- Nenápadné zmeny na legitímnych súboroch: jediný ďalší riadok v jadrovom súbore, ktorý vyzerá neškodne.
- Uniknuté údaje: či sa prístupové údaje alebo údaje zákazníkov skopírovali, neukáže žiadny skener.
Čo namiesto toho prináša istotu
Viac istoty prináša kombinácia druhov kontroly, ktoré fungujú rozdielne:
- Porovnanie s originálom: nájde každú zmenu na známych súboroch, nezávisle od vzorov. Postup opisuje Porovnanie jadrových súborov CMS s originálom.
- Cielené hľadanie nápadností: súbory PHP v priečinkoch s uploadmi, nedávno zmenené súbory, zahmlený kód, spustiteľné súbory v dočasných priečinkoch.
- Kontrola účtov a systémových služieb: používateľov, kľúče, cronjoby a služby porovnať so známym správnym stavom.
- Vyhodnotenie protokolov: požiadavky na neznáme súbory, nárasty chýb, nezvyčajné prihlásenia.
- Sledovanie správania: procesy webového servera, ktoré spúšťajú shell, neočakávané odchádzajúce spojenia, nové súbory v citlivých priečinkoch.
Posledná kategória je najdôležitejšia, ak neexistujú známe stopy. Nepýta sa, ako škodlivý kód vyzerá, ale čo robí. Proces webového servera, ktorý zrazu spustí shell, upúta bez ohľadu na to, ako je spúšťací kód zahmlený.
Server-skener nechajte bežať z čistého systému nad kópiou chránenou proti zápisu, nie na samotnom podozrivom serveri. Votknutý kód tak nemôže ovplyvniť výsledok.
Ako skenery zmysluplne nasadiť
Skenery majú svoje miesto, ako jeden nástroj z viacerých. Externý skener sa hodí ako pravidelná kontrola viditeľných následkov, napríklad raz týždenne. Skener v CMS v bežnej prevádzke hlási známy škodlivý softvér a zmenené jadrové súbory. Serverový skener dopĺňa hľadanie známych vzorov v celom súborovom systéme.
Rozhodujúce je zaobchádzanie s výsledkom. Nález je jasnou úlohou na preskúmanie a odôvodňuje úplné vyšetrenie, pretože len zriedka je dotknutý iba jeden súbor. Prázdny výsledok je naopak len výpoveďou o kontrolovaných vzoroch. Do dokumentácie zapíšte, ktorý skener bežal kedy a s akým stavom, a nepíšte „systém čistý“, ale „nenašli sa žiadne známe vzory“.
Pre vedenie spoločnosti to znamená: zelený háčik nenahrádza kontrolu od niekoho, kto sa pozerá na súbory, databázu, účty a správanie spoločne. Po incidente s možným vykonaním kódu, ako je pri PHP2Shell možné, by sa taká kontrola mala uskutočniť.
Ak skener naopak ohlási nález, je potrebné rýchle, ale usporiadané konanie. Nahlásený súbor nemažte hneď cez funkciu skenera. Najprv zabezpečte súbor a protokoly, aby sa dalo objasniť, ako sa na server dostal. Ako prebieha úplné vyčistenie, opisuje služba Odstránenie malvéru a webshellov.
Ako konkrétne pomáha PHP SOS?
- Skenery kombinujeme s porovnaním proti originálu, cieleným hľadaním a vyhodnotením účtov, služieb a protokolov.
- Podozrivé systémy kontrolujeme cez zabezpečené kópie, aby výsledky neovplyvnil kompromitovaný systém.
- Každý výsledok čestne označíme ako preukázaný, pravdepodobný alebo neznámy.
- Pomocou sledovania bezpečnosti pre webové servery trvalo sledujeme správanie vašich serverov, nielen známe vzory.
Časté otázky
Je môj web čistý, ak skener malvéru nič nenájde?
Nie nutne. Skenery nachádzajú predovšetkým známe vzory. Nový alebo dobre zahmlený kód, zadné vrátka v databáze, cudzie účty, cronjoby a kľúče SSH často zostanú neodhalené. Prázdny výsledok je stavebný prvok, nie oslobodenie.
Aký je rozdiel medzi externým skenerom a skenerom ako plugin?
Externý skener otvára web zvonka a vidí len to, čo sa doručuje. Skener ako plugin beží vnútri CMS a môže čítať súbory, beží však v tom istom systéme, ktorý môže byť kompromitovaný. Oba majú vlastné slepé škvrny.
Existujú signatúry skenerov pre PHP2Shell?
Pre PHP2Shell neexistujú zverejnené, potvrdené indikátory kompromitácie (Indicators of Compromise). Skenery preto nemôžu cielene hľadať zaručené stopy PHP2Shell. Rozpoznanie sa opiera o analýzu správania a o hľadanie všeobecných príznakov kompromitácie.
Ktorý skener je najlepší?
Otázka zavádza. Dôležitejšia než konkrétny produkt je kombinácia rôznych druhov kontroly: porovnanie s originálom, hľadanie v súboroch a databáze, kontrola účtov a systémových služieb a sledovanie správania.