Kort sagt: Varnar Google, er webbläsare, ert webbhotell eller en kund för er webbplats körs mycket sannolikt främmande kod på er server. Berörs ni, hör av er nu. Vi klarlägger på distans vad som levereras, säkrar spåren, tar bort den skadliga koden, stänger åtkomsten och följer er fram till ny frisläppning.
Radera ingenting och installera inte om något nu. Sätt vid behov sidan i underhållsläge så att besökare skyddas, och låt filer och loggar vara oförändrade. Anmäl nödläge, så tar vi över från första meddelandet.
Berörs ni? Så visar sig en webbplats som sprider skadlig kod
En webbplats som sprider skadlig programvara eller skräppost märks sällan genom ett synligt fel. Oftast hör andra av sig först. Typiska ledtrådar:
- Webbläsaren visar en röd varningssida före er domän, till exempel ”Deceptive site ahead” eller ett meddelande om skadlig programvara.
- I Google Search Console finns ett säkerhetsmeddelande, eller er sida visas i sökresultaten med tillägget ”Den här webbplatsen kan skada din dator”.
- Besökare berättar om popup-fönster, oväntade omdirigeringar eller nedladdningar som bara förekommer på mobila enheter eller bara efter ett klick från sökningen.
- Era sökresultat visar sidor som ni aldrig har skapat, till exempel reklam för läkemedel eller spel på främmande språk.
- Ert webbhotell skriver om missbruk, skräppostutskick eller avvikande utgående förbindelser.
- Ert företags e-post hamnar hos mottagaren i skräpposten, eller det kommer påfallande många leveransfel i retur.
- Ert antivirusprogram meddelar ingenting, men klagomålen upphör ändå inte.
Flera av dessa punkter tillsammans talar starkt för en komprometterad webbplats. En enskild ledtråd kan också ha en ofarlig orsak. Låt ändå kontrollera det, eftersom varje dag med varningssida kostar besökare, förfrågningar och förtroende.
Det här gör ni direkt
- Skydda besökarna: Sätt webbplatsen i underhållsläge eller låt webbhotellet spärra den tillfälligt om skadlig kod levereras aktivt.
- Radera ingenting: Ta inte bort filer, återställ ingen säkerhetskopia, ingen nyinstallation över det gamla läget innan allt har säkrats.
- Bevara loggarna: Be ert webbhotell att inte skriva över åtkomst- och felloggar.
- Samla meddelandena: Ta skärmbilder av varningarna, anteckna datum, klockslag och berörda adresser.
- Utse åtkomsterna: Vem har åtkomst via CMS, FTP, SSH eller hostingpanel? Byt lösenord först efter överenskommelse och bara från en ren enhet.
- Informera internt: Ledningen, dataskyddsombudet och, om ni har en försäkring, försäkringsbolaget bör känna till läget.
- Ansök inte hos Google än: En ny granskning hjälper först efter rensningen.
Hur hjälper PHP SOS konkret?
- Kartlägga läget: Vi klarlägger vilka varningar som finns, sedan när, och vilka system och uppgifter som kan vara berörda.
- Säkra och stänga: Vi säkrar filer, databas och loggar innan något ändras. Därefter spärrar vi misstänkta åtkomster och stoppar leveransen av den skadliga koden.
- Granska och rensa: Vi jämför filerna med ett rent läge, söker webshells, bakdörrar och poster i databasen och tar bort dem. Mer om detta under Ta bort skadlig kod och webshells.
- Härda och rapportera: Vi stänger ingången, kontrollerar PHP-nivån och dokumenterar incidenten. Vi följer er vid hävandet av spärrar och varningar.
Vi arbetar på distans, utan resor, i hela Europa.
Varför varningen ofta kommer tillbaka
Den som bara tar bort synliga spår behandlar symtomet. Angripare lägger oftast flera åtkomster: en dold PHP-fil i en uppladdningsmapp, ett manipulerat plugin, ett extra adminkonto eller ett schemalagt cronjobb som laddar in raderade filer på nytt. Städar ni bara sidan som webbläsaren visar är samma skadliga kod tillbaka några dagar senare.
Dessutom döljer många skadegörare sitt beteende. De levererar skadlig kod bara till besökare som kommer via en sökmotor, eller bara till mobila enheter. Ägaren anropar sidan direkt och ser ingenting. Hur sådana omdirigeringar uppstår beskriver inlägget Webbplatsen omdirigerar till främmande sidor, och varför skannrar stöter på gränser står under Begränsningar hos skannrar för skadlig kod.
Google-varning och skräppost i sökindexet
Har Google markerat er sida som farlig sker hävandet via Search Console. Där ansöker ni om en ny granskning så snart servern bevisligen är ren. Vilka steg som är meningsfulla förklarar guiden Ta bort Google-varning. Har angripare dessutom skapat skräppostsidor i ert namn hör deras borttagning ur indexet dit; anvisningar finns i SEO-skräppost i Googles index.
Skickar er server skräppost har oftast ett formulär, ett skript eller ett e-postkonto missbrukats. Då lönar det sig att titta på Servern skickar skräppost, eftersom anseendet för er domän och er IP-adress försämras med varje ytterligare meddelande.
Hur webshells ter sig kan ni läsa under Upptäcka webshell. Sedan PHP2Shell tillkommer ytterligare en fråga: En uppdatering stänger sårbarheten men tar inte bort skadlig programvara som redan finns. Det gäller enligt BSI:s lägesbild och fackpressen lika.
Det här bör ni skicka till oss
- meddelandena i ordagrann lydelse eller som skärmbild, med datum
- de berörda adresserna och, om det är känt, åtkomstvägar (hostingpanel, SSH, CMS)
- namn på byrå, utvecklare och webbhotell som känner till systemet
- uppgifter om vad som senast ändrades: uppdateringar, nya plugin, nya medarbetare med åtkomst
- uppgifter om säkerhetskopior och hur gamla de är
- en person med beslutsbefogenhet som är nåbar
Ofullständiga uppgifter är inget hinder. Vi frågar efter det som saknas.
Varför PHP SOS
Vi är en leverantör Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. Ni har en fast kontaktperson, vi arbetar på distans och dokumenterar varje steg, så att ni har belägg i handen gentemot webbhotell, försäkringsbolag och kunder. Vi lovar inget som ingen kan hålla och säger öppet vad som är belagt, sannolikt eller okänt. Juridisk rådgivning ger vi inte; frågor om ansvar och anmälningsskyldighet hör hemma hos dataskyddsombud och jurist.
Berörs ni? Ring oss. Vi hjälper er.
Om er webbplats varnar besökare, levererar skadlig kod eller skickar skräppost räknas varje dag den står så på nätet. Hör av er nu: Ring eller skriv via WhatsApp. Vi tar över från första meddelandet och är med tills incidenten är avslutad och dokumenterad. Anmäl nödläge nu
Vanliga frågor
Varför visar webbläsaren en varning för min webbplats?
Webbläsare använder listor över kända farliga sidor. Står er domän där blockerar webbläsaren anropet med en röd varningssida. Oftast ligger främmande kod på servern bakom, som omdirigerar besökare eller laddar in skadlig programvara.
Räcker det att anmäla varningen hos Google som åtgärdad?
Nej. En ny granskning hos Google hjälper bara om den skadliga koden först har tagits bort helt och ingången har stängts. Annars dyker varningen upp igen kort därefter, och en avslagen ansökan kostar tid.
Mitt antivirusprogram hittar ingenting, men varningen finns kvar. Vad beror det på?
Skannrar känner främst igen kända mönster. Skadlig kod som bara levereras till vissa besökare, sökmotorer eller enheter förblir ofta oupptäckt. Då hjälper bara en avstämning av filerna mot ett rent läge och analys av loggarna.
Varför hamnar mitt företags e-post plötsligt i skräpposten?
Om er server eller ert konto har missbrukats för utskick av skräppost sjunker anseendet för er domän och er IP-adress. Mottagarnas servrar klassar då era e-postmeddelanden som misstänkta. Först efter rensningen går anseendet att bygga upp igen.
Kan jag helt enkelt ta min webbplats offline?
Ja, och vid aktiv leverans av skadlig kod är det ofta meningsfullt för att skydda besökare. Radera dock ingenting. Loggar och filer visar hur angriparen tog sig in.