Kort sagt: Har ert webbhotell stängt av webbplatsen är det oftast ett tecken på skadlig kod eller missbruk, men kan också vara försiktighet. Upplåsning sker i regel först när orsaken är åtgärdad. Berörs ni? Hör av er direkt. Vi klarlägger läget på distans, rensar kontot och samordnar upplåsningen med ert webbhotell.
Radera ingenting och installera inte om något nu. Inte heller på webbhotellets uppmaning. Spår, loggar och filer måste bevaras tills allt har säkrats. Ring eller skriv via WhatsApp, eller använd Anmäl nödläge.
Har er webbplats stängts av?
En avstängning kan se mycket olika ut:
- sidan är inte nåbar eller visar en informationssida från webbhotellet
- ett e-postmeddelande eller ett ärende nämner ”malware”, ”abuse”, ”phishing” eller ”spam”
- hostingpanelen är spärrad, FTP och e-post fungerar inte längre
- bara enskilda funktioner är avstängda, till exempel PHP-körning eller e-postutskick
- webbplatsen körs, men webbhotellet kräver åtgärder inom en frist
Läs meddelandet noga: Ofta står det filnamn, tidpunkter eller meddelanden som är viktiga för analysen. Den som stängts av i förebyggande syfte känner oftast igen det på att webbhotellet inte anger någon konkret fil. Också här gäller att granska, eftersom en avstängning ensam varken bevisar smitta eller att den saknas.
Det här gör ni direkt
- Säkra webbhotellets meddelande: Spara e-post, ärende och skärmbild med datum. Vilken frist angavs?
- Rensa inte på egen hand. Den som raderar eller laddar upp filer på nytt kan förstöra spår och riskerar en ny avstängning.
- Be webbhotellet vänligt om följande: ange fyndplatserna, bevara loggar för perioden, behålla åtkomsten i läsläge eller via export av säkerhetskopia. En mall för förfrågan finns under Så frågar ni ert webbhotell om patchstatus.
- Kontrollera e-postutskicken: Om skräppost utgick från servern kvarstår spärrarna annars. Anvisningar om orsaken ger Servern skickar skräppost.
- Anteckna åtkomsterna: Panel, FTP, SSH, databas, CMS-backend. Byt lösenord först efter överenskommelse.
- Klarlägg de affärsmässiga följderna: Är nåbarheten för webbplatsen eller e-post kritisk för er verksamhet? Säg det i så fall genast till oss.
- Hör av er till oss innan ni låter frister gå ut eller byter webbhotell.
Hur hjälper PHP SOS konkret?
- Kartlägga läget: Vi läser webbhotellets meddelande, klarlägger konto, omfattning och system och går igenom vilka funktioner som fortfarande är nåbara.
- Säkra och begränsa: I den mån webbhotellet ger åtkomst säkrar vi filer, databas och loggar och kopplar bort åtkomster som inte längre är pålitliga.
- Granska och rensa: Vi söker webshells, manipulerade filer, främmande konton och mekanismer som laddar in skadlig kod. Förloppet motsvarar Ta bort skadlig kod och webshells.
- Stänga ingången och belägga: Vi klarlägger hur angriparen tog sig in och stänger sårbarheten. Därefter upprättar vi en spårbar beskrivning som ni kan lämna till webbhotellet för upplåsningen.
- Samordna och härda: Vi talar med ert webbhotell om ni tillåter det, följer upplåsningen och ger rekommendationer för den varaktiga driften.
Hur vi hanterar den allmänna incidenten beskrivs på sidan Webbplats hackad: nödhjälp.
Vem ansvarar vid avstängda webbplatser?
Vid delat webbhotell kontrollerar webbhotellet server och PHP, ni kontrollerar era filer och program. Att webbhotellet reagerar på PHP2Shell betyder inte att er sida är ren. Omvänt befriar det inte ert webbhotell från dess egna skyldigheter. Fördelningen beskrivs i Delat webbhotell: vad webbhotellet gör och vad ni måste göra. Efter en avstängning lönar det sig att fråga vilken PHP-version som faktiskt körs och om patchnivån är bekräftad. Vi gör inga uttalanden om hur långt ett visst webbhotell har patchat. Det måste webbhotellet själv bekräfta skriftligt.
Ett byte kan vara meningsfullt, men först efter rensningen och inte som en flyktväg, se Byta webbhotell efter en incident. Har Google också markerat sidan beskriver Ta bort Google-varning vägen därefter. Att organisationer förebyggande tar sina sidor offline är ett känt mönster; vad företag kan lära sig av det står under Myndigheter tar webbplatser offline.
Vad webbhotell oftast vill se för upplåsning
Varje webbhotell hanterar det olika, men förväntningen är likartad: Ni ska visa att ni har förstått och åtgärdat orsaken, inte bara symtomet. Vanligt är en kort beskrivning av fynden, bekräftelsen att skadlig kod är borttagen och inloggningsuppgifter bytta, och en uppgift om vilken programvara som uppdaterats. Vissa leverantörer granskar kontot själva därefter, andra kräver ytterligare ett ärende. Vi sammanställer dessa underlag så att ni kan lämna dem vidare utan särskild fackkunskap. Vilka åtaganden ert webbhotell gör och hur snabbt det reagerar avgör webbhotellet självt; det har vi ingen påverkan på och säger det öppet.
Det här bör ni skicka till oss
- webbhotellets meddelande i ordagrann lydelse, med datum och angiven frist
- webbhotellets namn, abonnemang och, om den är känd, PHP-versionen
- webbplatsens adress och andra sidor i samma konto
- vilka funktioner som är spärrade (webbplats, e-post, panel, FTP)
- kontakt till byrån eller utvecklaren, om sådan finns
Varför PHP SOS
Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. Ni har en kontaktperson som följer ert ärende och är nåbar för frågor till ert webbhotell. Vi arbetar på distans, utan resor, i hela Europa. Allt dokumenteras, löften om varaktighet ger vi inte, eftersom de beror på webbhotell och fynd. Vi arbetar tills incidenten är avslutad och dokumenterad.
Berörs ni? Ring oss. Vi hjälper er.
En avstängning är besvärlig, men den är ett tydligt skäl att agera. Hör av er nu, via samtal eller WhatsApp, så tar vi över från första meddelandet. Anmäl nödläge nu
Vanliga frågor
Varför har mitt webbhotell stängt av min webbplats?
Vanliga skäl är skadlig kod på kontot, utskick av skräppost, ovanligt hög belastning eller angrepp som utgår från er server. Webbhotellet skyddar därmed sina andra kunder. En upplysning om avstängningen står oftast i meddelandet eller i kundområdet.
Betyder en avstängning att min webbplats verkligen har hackats?
Inte i varje fall. Några leverantörer har även i förebyggande syfte tagit webbplatser offline i samband med PHP2Shell. Vad som faktiskt föreligger visar först en granskning. Själva avstängningsmeddelandet är en första men ingen fullständig ledtråd.
Kan jag be webbhotellet att helt enkelt häva spärren?
Det går att försöka, men har oftast liten framgång om inget har rensats. Många webbhotell kräver en förklaring eller ett bevis på rensningen. Om spärren hävs utan att orsaken åtgärdats hotar nästa avstängning.
Ska jag byta till ett annat webbhotell?
Inte förhastat. En flytt tar med sig den skadliga koden om den följer med, och förstör spår. Rensa först och klarlägg orsaken, besluta därefter om webbhotellet.
Hur länge dröjer det tills min webbplats är online igen?
Det beror på hur omfattande smittan är, loggarnas skick och webbhotellets reaktion, därför anger vi inga tidsfrister. Efter den första bedömningen talar vi om för er vad som bör göras och vilka steg som beror på webbhotellet.