Stručne: Ak je vo vašej agentúre dotknutých viac webov zákazníkov, zriedka je to náhoda, väčšinou ide o spoločný server, zdieľaný prístup alebo tú istú verziu PHP. Ste postihnutý? Ozvite sa hneď. Zabezpečíme vám prehľad, na diaľku incident izolujeme, vyčistíme systémy a dodáme vám správy pre vašich zákazníkov.
Teraz nič nemažte a nič neinštalujte odznova. Aj keď je tlak zákazníkov veľký: bez zabezpečených logov a súborov sa nedá objasniť príčina ani preukázať, čo dotknuté nebolo. Nahláste núdzový prípad a preberáme prípad od prvej správy.
Ste postihnutý? Príznaky, keď boli hacknuté weby zákazníkov
Ako agentúra vidíte vzorce, ktoré jednotliví prevádzkovatelia nikdy nezaznamenajú. Na spoločný incident poukazujú:
- Viaceré weby zákazníkov vykazujú v rovnakom čase rovnaké príznaky: presmerovania, spamový obsah, varovania v prehliadači.
- Ten istý neznámy administrátorský účet alebo ten istý podozrivý súbor sa objaví u rôznych zákazníkov.
- Poskytovateľ hostingu hlási zneužitie alebo nápadné zaťaženie účtu, na ktorom leží veľa projektov.
- Zákazníci volajú, pretože ich web varuje Google, a pri kontrole nájdete ďalšie weby v rovnakom stave.
- Vývojár alebo bývalý zamestnanec mal prístup k mnohým projektom a jeden prístup unikol.
- Údržbové práce cez centrálny nástroj, napríklad deployment, zálohy alebo aktualizačnú službu, zmenili web, ktorého ste sa nedotkli.
- Prevádzkujete veľa webov na verziách PHP, ktorých stav záplat neviete preukázať pre každý z nich.
Od PHP2Shell pribúda, že zraniteľnosť je v samotnom interpreteri PHP. Aktualizácia CMS, napríklad WordPressu, ju neuzavrie; rozhodujúci je runtime PHP, ktorý skutočne obsluhuje požiadavky.
Čo urobiť hneď
- Vypísať dotknuté weby: doména, server, hostingový účet, verzia PHP, CMS, zodpovedné osoby. Patria sem aj podozrivé prípady.
- Hľadať spoločné znaky: Ten istý server? Tie isté prístupy? Ten istý plugin? Ten istý spôsob deploymentu?
- Oddeliť ohrozené weby: Weby, ktoré aktívne poskytujú škodlivý kód, prepnúť do režimu údržby. Nemazať.
- Nechať zabezpečiť logy a stav: Požiadať poskytovateľa hostingu o uchovanie protokolov; zabezpečiť vlastné protokoly deploymentu.
- Skontrolovať centrálne prístupy: Kto má prístup k hostingovému panelu, SSH, Gitu, správcovi hesiel a deploymentu? Zmeny až po dohode.
- Zákazníkov informovať zdržanlivo: Najprv len to, čo je preukázané. Neuvádzať príčinu, kým nie je istá.
- Kontaktovať nás: Zavolajte alebo napíšte cez WhatsApp.
Ako PHP SOS konkrétne pomáha?
- Zmapovať situáciu: S vami získame prehľad o všetkých weboch a serveroch a zoradíme ich podľa naliehavosti: aktívne poskytovaný škodlivý kód, podozrenie na únik údajov, pravdepodobne len nezáplatované.
- Zabezpečiť a uzavrieť: Zabezpečíme každý dotknutý systém skôr, než sa niečo zmení, a uzavrieme spoločné vstupné dvere: prístupy, stav PHP, reštart všetkých procesov.
- Skontrolovať a vyčistiť: Systematicky hľadáme na všetkých weboch tie isté stopy, odstraňujeme webshelly a zadné vrátka a čisto obnovujeme. Podrobnosti v časti Odstránenie malvéru a webshellov.
- Spevniť a podať správu: Weby od seba oddelíme, kde je to zmysluplné, a dodáme pre každého zákazníka krátku správu, ktorú môžete odovzdať, ako aj celkovú správu pre vás.
Pracujeme na diaľku, bez výjazdu, v celej Európe. Na želanie v pozadí pre vašu agentúru, ako je popísané na stránke Agentúry a white label.
Prečo pri agentúrach často padne naraz veľa webov
Kto prevádzkuje veľa projektov na jednom serveri, ušetrí náklady, ale vymení izoláciu za pohodlie. Ak všetko beží pod tým istým používateľom a tým istým poolom procesov PHP, kód hacknutého webu môže čítať a meniť súbory susedov. Nie je to výnimočný prípad, ale štandard v mnohých konfiguráciách. Ako pooly čisto oddeliť, popisuje Izolácia poolov PHP-FPM.
K tomu pristupujú zdieľané prístupy: jeden kľúč SSH pre všetky projekty, jeden hostingový účet so všetkými doménami, rovnaké heslá pre staging a produkciu. Platí tu princíp najmenších oprávnení. Viac v časti Oprávnenia používateľa webového servera.
Počíta sa aj dodávateľský reťazec: pluginy, témy a knižnice pochádzajú od tretích strán, platformu zodpovedá poskytovateľ hostingu, prevádzku agentúra. Kde tieto hranice vedú a kde vznikajú medzery, rieši Dodávateľský reťazec agentúry a poskytovateľa hostingu.
Inventár, verzie PHP a komunikácia so zákazníkmi
Najčastejším problémom v takých situáciách je chýbajúci prehľad: Ktorý web beží na ktorom serveri s ktorou verziou PHP a kto je zodpovedný? Bez tohto zoznamu sa nedá povedať, koho sa záplata týka a koho nie. Ako takýto register vybudovať, ukazuje Inventár webov a serverov. Ak súbežne beží viac verzií PHP, pomôže navyše Viac verzií PHP na jednom serveri.
Voči zákazníkom rozhoduje jasnosť. Nemusíte vedieť všetko, ale nič nezľahčovať: Čo je preukázané, čo sa ešte kontroluje, čo urobíte ďalej? Pomôcky na formulácie nájdete v časti Informovanie zákazníkov po incidente. Ak sú dotknuté osobné údaje, môžu zohrávať rolu oznamovacie povinnosti podľa čl. 33 GDPR. Je to všeobecná informácia; posúdenie patrí zodpovedným osobám pre ochranu údajov a právnikovi. Ak incident presiahne jednotlivé weby, prejdeme na štruktúrovanú Incident Response.
Čo by ste nám mali poslať
- zoznam dotknutých a pravdepodobne dotknutých domén
- údaje o serveri a hostingu pre každý projekt, ak sú známe
- verzie PHP a používané CMS alebo e-shopy
- prístupy, ktoré nám môžete poskytnúť, a roly v tíme
- informácie o tom, čo sa naposledy zmenilo alebo nasadilo
- meno kontaktnej osoby pre rozhodnutia a pre komunikáciu so zákazníkmi
Prečo PHP SOS
Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Máte jedného kontaktného partnera pre všetky dotknuté projekty, pracujeme na diaľku a pre každý systém dokumentujeme, čo sa našlo a urobilo. Nesľubujeme zázraky. To, čo sa nedá preukázať, nazývame neznáme, aby ste voči svojim zákazníkom netvrdili viac, než viete.
Ste postihnutý? Zavolajte. Pomôžeme vám.
Ak je viac webov vašich zákazníkov nápadných, časový tlak je dvojnásobný: technicky aj vo vzťahu k zákazníkom. Ozvite sa hneď: zavolajte alebo napíšte cez WhatsApp. Preberáme prípad od prvej správy a zostávame pri ňom, kým nie je incident uzavretý a zdokumentovaný. Nahlásiť núdzový prípad teraz
Časté otázky
Prečo je často dotknutých hneď viac webov zákazníkov?
Weby často zdieľajú server, hostingový účet, ten istý proces PHP alebo tie isté prístupové údaje. Ak sa útočník dostane dnu na jednom mieste, môže sa pohybovať bokom. Zraniteľné PHP navyše postihuje všetky weby, ktoré ho používajú.
Mám zákazníkov informovať hneď?
Závisí to od situácie a od zmluvy. Najprv objasnite, ktoré weby sú skutočne dotknuté, aby ste neinformovali na základe domnienok. Pri osobných údajoch sú možné oznamovacie povinnosti; posúdenie patrí zodpovedným osobám pre ochranu údajov alebo právnikovi.
Kto zodpovedá, ak bol web zákazníka hacknutý?
Riadi sa to vašimi zmluvami, rozsahom starostlivosti a priebehom. K tomu neposkytujeme právne poradenstvo. Čistá správa o príčine a opatreniach pomáha pri objasnení.
Môžete pracovať pod naším menom, aby nás koncový zákazník nevidel?
Na želanie pracujeme v pozadí pre vašu agentúru a dodáme správy, ktoré môžete odovzdať svojim zákazníkom. Podrobnosti prerokujeme vopred.
Stačí weby zákazníkov čistiť jednotlivo?
Väčšinou nie. Ak je príčina v spoločnom serveri, v zdieľanom prístupe alebo v nezáplatovanej verzii PHP, problémy sa po jednotlivom čistení objavia znova. Príčina sa musí odstrániť tiež.