Zhakowana strona?
Zaczynamy od tego, co naprawdę siedzi na serwerze

Proste przypadki, czyli pojedynczy backdoor bez trwałego dostępu do serwera, zamykamy w kilka godzin. Przejęte konto hostingowe z koparką kryptowalut, wieloma kopiami webshelli i zmodyfikowaną konfiguracją serwera to praca na jeden lub dwa dni. Terminu nie podajemy przed rozpoznaniem, bo zakres znamy dopiero po zajrzeniu na serwer.

Wycena po rozpoznaniu. Samo rozpoznanie, czyli ustalenie co siedzi na serwerze, od kiedy i jaki ma zasięg, wyceniamy osobno i niezależnie od tego, czy zlecisz nam czyszczenie. Dostajesz z niego konkretną listę znalezisk, a nie ogólnik „strona jest zainfekowana”.

Nie. Wtyczki wymuszane z katalogu mu-plugins ładują się zawsze, niezależnie od tego, co kliknięto w panelu, a część złośliwego oprogramowania dopisuje się z powrotem na listę aktywnych przy każdym wejściu do administracji. Widzieliśmy też webshell, który sprawdzał co minutę, czy nadal jest na dysku, i pobierał się z powrotem po skasowaniu. Czyszczenie robi się na plikach, po SSH albo FTP.

Tylko z kopii sprzed infekcji. Kopia zrobiona po włamaniu zawiera złośliwy kod i jej przywrócenie odtwarza problem. Dlatego pierwszą rzeczą, jaką ustalamy, jest data wejścia atakującego, i dopiero ona mówi, do której kopii warto wracać.

Część hostingów wykrywa i oznacza zainfekowane pliki w kwarantannie. To wykrycie, nie naprawa: oznaczony plik zostaje na serwerze, a mechanizm, który go tam wgrał, działa dalej. W jednym z przypadków, którymi się zajmowaliśmy, hosting oznaczył zainfekowane pliki na długo przed tym, zanim właściciel dowiedział się o włamaniu.

Usunięcie złośliwego kodu bez zamknięcia drogi wejścia to połowa roboty. Po czyszczeniu wymieniamy hasła i klucze bezpieczeństwa, sprawdzamy uprawnienia kont, aktualizujemy rdzeń i wtyczki, usuwamy rozszerzenia nieużywane oraz włączamy monitorowanie zmian w plikach. Dalej zostaje regularna opieka albo przebudowa strony na architekturę, w której taki atak nie ma czego zaatakować.

Tak, i to jest większość takich zleceń. Do rozpoznania potrzebujemy dostępu do serwera przez SSH albo FTP oraz do panelu hostingu. Haseł nie prosimy przesyłać czatem ani mailem.