Na kratko: Če je ponudnik gostovanja stran blokiral, je to običajno namig na škodljivo kodo ali zlorabo, lahko pa je tudi previdnost. Odblokada praviloma sledi šele, ko je vzrok odpravljen. Ste prizadeti? Javite se takoj. Na daljavo razjasnimo stanje, očistimo račun in uskladimo odblokado z vašim ponudnikom gostovanja.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. Tudi ne na poziv ponudnika. Sledi, dnevniki in datoteke morajo ostati ohranjeni, dokler ni vse zavarovano. Pokličite ali pišite po WhatsAppu ali uporabite Prijavo nujnega primera.
Je bila vaša stran blokirana?
Blokada se kaže zelo različno:
- stran ni dosegljiva ali kaže obvestilno stran ponudnika gostovanja
- e-pošta ali prijavnica omenja »malware«, »abuse«, »phishing« ali »spam«
- upravljalna plošča gostovanja je blokirana, FTP in pošta ne delujeta več
- izklopljene so le posamezne funkcije, na primer izvajanje PHP ali pošiljanje pošte
- stran deluje, vendar ponudnik v roku zahteva ukrepe
Obvestilo preberite natančno: pogosto vsebuje imena datotek, čase ali sporočila, pomembna za analizo. Kdor je bil izklopljen preventivno, to običajno prepozna po tem, da ponudnik ne navaja konkretne datoteke. Tudi tu ostaja pri pregledu, kajti sama izklopitev ne dokazuje ne okužbe ne njene odsotnosti.
Kaj storite takoj
- Zavarujte obvestilo ponudnika: e-pošto, prijavnico in posnetek zaslona z datumom shranite. Kateri rok je naveden?
- Ne čistite na lastno pest. Kdor briše ali znova nalaga datoteke, lahko uniči sledi in tvega novo blokado.
- Ponudnika vljudno prosite za naslednje: da navede mesta najdb, ohrani dnevnike za obdobje in ohrani dostop samo za branje ali prek izvoza varnostne kopije. Predlogo za zahtevo najdete na strani Tako ponudnika gostovanja vprašate po stanju popravkov.
- Preverite pošiljanje pošte: Če je nezaželena pošta izhajala s strežnika, blokade sicer ostanejo. Namige k vzroku daje prispevek Strežnik pošilja nezaželeno pošto.
- Zapišite dostope: upravljalna plošča, FTP, SSH, zbirka podatkov, zaledje CMS-ja. Gesla zamenjajte šele po dogovoru.
- Razjasnite poslovne posledice: Ali je dosegljivost strani ali e-pošte kritična za vaše poslovanje? Potem nam to povejte takoj.
- Javite se nam, preden pustite, da roki potečejo, ali zamenjate ponudnika.
Kako konkretno pomaga PHP SOS?
- Ocena stanja: Preberemo obvestilo ponudnika, razjasnimo račun, obseg in sisteme ter se pogovorimo, katere funkcije so še dosegljive.
- Zavarovanje in zajezitev: Kolikor ponudnik omogoča dostop, zavarujemo datoteke, zbirko podatkov in dnevnike ter ločimo dostope, ki niso več zaupanja vredni.
- Preverjanje in čiščenje: Iščemo webshelle, manipulirane datoteke, tuje račune in mehanizme, ki naknadno nalagajo škodljivo kodo. Potek ustreza storitvi odstranjevanje zlonamerne kode in webshellov.
- Zapiranje vstopa in dokaz: Razjasnimo, kako je napadalec prišel noter, in zapremo ranljivost. Nato pripravimo razumljiv opis, ki ga lahko za odblokado predate ponudniku gostovanja.
- Usklajevanje in utrjevanje: Če dovolite, govorimo z vašim ponudnikom gostovanja, spremljamo odblokado in damo priporočila za trajno obratovanje.
Kako obravnavamo splošni incident, opisuje stran Vdrta spletna stran: nujna pomoč.
Kdo je pri blokiranih straneh pristojen?
Pri skupnem gostovanju ponudnik nadzoruje strežnik in PHP, vi nadzorujete svoje datoteke in aplikacije. To, da ponudnik reagira na PHP2Shell, ne pomeni, da je vaša stran čista. Obratno to vašega ponudnika ne odveže njegovih lastnih obveznosti. Delitev opisuje stran Skupno gostovanje: kaj naredi ponudnik in kaj morate vi. Po blokadi se splača vprašati, katera različica PHP dejansko teče in ali je stanje popravkov potrjeno. Ne podajamo izjav o tem, kako daleč je določen ponudnik gostovanja popravil. To mora pisno potrditi sam.
Selitev je lahko smiselna, vendar šele po čiščenju in ne kot pot umika, glej Zamenjava ponudnika gostovanja po incidentu. Če je tudi Google stran označil, pot po tem opisuje stran Odstranitev Googlovega opozorila. Da organizacije svoje strani preventivno odklopijo z omrežja, je znan vzorec; kaj se iz tega naučijo podjetja, je na strani Organi odklapljajo spletne strani z omrežja.
Kaj ponudniki za odblokado običajno želijo videti
Vsak ponudnik ravna drugače, a pričakovanje je podobno: pokazati morate, da ste vzrok razumeli in odpravili, ne le simptoma. Običajni so kratek opis najdb, potrditev, da je škodljiva koda odstranjena in dostopni podatki zamenjani, ter napotek, katera programska oprema je bila posodobljena. Nekateri ponudniki račun nato preverijo sami, drugi zahtevajo novo prijavnico. Te dokumente pripravimo tako, da jih lahko predate brez strokovnega znanja. Katere zaveze da vaš ponudnik gostovanja in kako hitro se odzove, odloča sam; na to nimamo vpliva in to odkrito povemo.
Kaj nam pošljite
- obvestilo ponudnika v dobesednem besedilu, z datumom in navedenim rokom
- ime ponudnika gostovanja, tarifa in, če je znana, različica PHP
- naslov strani in druge strani v istem računu
- katere funkcije so blokirane (stran, pošta, upravljalna plošča, FTP)
- stik z agencijo ali razvijalcem, če obstaja
Zakaj PHP SOS
Delamo »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. Imate sogovornika, ki spremlja vaš primer in je za poizvedbe dosegljiv tudi vašemu ponudniku gostovanja. Delamo na daljavo, brez prihoda na kraj, po vsej Nemčiji in Evropi. Vse je dokumentirano, obljub o trajanju ne dajemo, ker so odvisne od ponudnika gostovanja in ugotovitev. Delamo, dokler incident ni zaključen in dokumentiran.
Ste prizadeti? Pokličite nas. Pomagamo.
Blokada je neprijetna, a je jasen razlog za ukrepanje. Javite se zdaj, s klicem ali po WhatsAppu, in prevzamemo že od prvega sporočila. Prijavite nujni primer zdaj
Pogosta vprašanja
Zakaj je ponudnik gostovanja blokiral mojo stran?
Običajni razlogi so škodljiva koda na računu, pošiljanje nezaželene pošte, nenavadno visoka obremenitev ali napadi, ki izhajajo z vašega strežnika. Ponudnik s tem ščiti svoje druge stranke. Napotek o blokadi je običajno v obvestilu ali v uporabniškem območju.
Ali blokada pomeni, da je bila moja stran res vdrta?
Ne v vsakem primeru. Nekateri ponudniki so strani v zvezi s PHP2Shell odklopili tudi preventivno. Kaj dejansko obstaja, pokaže šele pregled. Samo obvestilo o blokadi je prvi, a ne popoln namig.
Ali lahko ponudnika gostovanja prosim, naj blokado preprosto odpravi?
To je mogoče poskusiti, a ima praviloma malo uspeha, če ni bilo nič očiščeno. Mnogi ponudniki zahtevajo pojasnilo ali dokaz o čiščenju. Če se odblokira brez odprave vzroka, grozi naslednja blokada.
Ali naj zamenjam ponudnika gostovanja?
Ne prenagljeno. Selitev s seboj odnese škodljivo kodo, če se seli z njo, in uniči sledi. Najprej očistite in razjasnite vzrok, nato odločite o ponudniku.
Kako dolgo traja, da je moja stran spet na spletu?
To je odvisno od obsega okužbe, stanja dnevnikov in odziva ponudnika, zato rokov ne navajamo. Po prvi oceni vam povemo, kaj je treba storiti in kateri koraki so odvisni od ponudnika.