cPanel tárhely szervereinken az ImunifyAV+ figyeli a tárhelyek fájljait, és megjelöli a kártékony kódot tartalmazókat: a feltört weboldalba csempészett PHP-hátsóajtókat (web shell), az adathalász oldalakat, a levélküldő szkripteket és a látogatókat más oldalakra irányító kódrészleteket. Ha értesítést kapott arról, hogy a tárhelyén kártevőt találtunk, ez a cikk leírja, hol látja a megjelölt fájlokat, és mit kell tennie, hogy a weboldal újra biztonságos legyen.
Hol látom, mit talált?
A cPanel kezdőlapján a Biztonság csoportban kattintson az ImunifyAV ikonra.
A Malware scanner oldalnak három füle van:
- MALICIOUS: a kártékonynak talált fájlok listája a vizsgálat dátumával, a fájl útvonalával, a talált kártevő megnevezésével (Reason) és az állapotával (Status).
- SCAN: a fiókon lefutott vizsgálatok listája: mikor, melyik könyvtárban, hány fájlt vizsgált, és mi lett az eredmény.
- HISTORY: a fájlokkal történt események naplója: mikor, melyik fájllal mi történt, és ki indította (a rendszer vagy a felhasználó).
A vizsgálatokat a szerver végzi, a fiókból nem kell és nem is lehet elindítani őket. A lista fölötti SUMMARY sáv mutatja a megjelölt fájlok számát és az utolsó vizsgálat idejét (Last scan). A Status szűrővel a fájlok állapot szerint szűrhetők:
| Állapot | Jelentése |
|---|---|
| Infected | A fájl kártékony kódot tartalmaz, még nincs megtisztítva. |
| Cleanup in progress | A tisztítás folyamatban van. |
| Cleaned | A rendszer eltávolította a kártékony részt, a fájl többi része megmaradt. |
| Content removed | A fájl teljes tartalma kártékony volt, ezért a rendszer a tartalmát eltávolította. |
A fájlok megtekintése és megtisztítása
A fájl sorának végén, az Actions oszlopban két ikon van:
- Szem ikon (View item): megnyitja a fájlt. A View content fülön a fájl tartalma látszik, a Diff fül a változásait mutatja. Így ellenőrizheti, hogy a fájl a weboldal része-e, vagy a támadó hozta létre.
- Seprű ikon (Clean up malicious code): eltávolítja a kártékony kódot. A megerősítő ablakban a YES, CLEAN UP gombbal indíthatja el.
A tisztítás előtt a rendszer mentést készít az eredeti fájlról, amely 14 napig érhető el. Ha a fájlnak csak egy része volt kártékony, a többi megmarad, és az állapota Cleaned lesz. Ha a teljes tartalma kártékony volt, a fájl üresen marad a helyén, és az állapota Content removed lesz. Tisztítás után a seprű helyett egy óra ikon jelenik meg (Restore original item): ezzel a tisztítás előtti, tehát valószínűleg fertőzött példányt állíthatja vissza, ha a tisztítás elrontott egy egyébként szükséges fájlt. A megtisztított fájlok a mentés 14 napja alatt a listában maradnak.
A cPanel a fájlkezelőn keresztül feltöltött fájlokat már feltöltéskor is ellenőrzi: ha egy fájlban ismert kártevőt talál, a feltöltést elutasítja „A feltöltött fájl vírust tartalmaz, ezért a feltöltést a rendszer törölte” üzenettel.
Miért fertőződött meg a tárhely?
A kártevő szinte sosem a szerveren keresztül, hanem a weboldalon vagy egy ellopott jelszóval jut be. A leggyakoribb okok:
- Elavult CMS, bővítmény vagy sablon: egy ismert biztonsági résen keresztül a támadó fájlt tölt fel a tárhelyre. WordPressnél, Joomlánál és webáruház-motoroknál ez a legjellemzőbb.
- Feltört (nulled) prémium bővítmény vagy sablon: az „ingyenes” változatok gyakran eleve hátsóajtót tartalmaznak; erről a nulled bővítmények veszélyeiről szóló cikk ír.
- Ellopott jelszó: a cPanel, az FTP vagy a weboldal adminisztrátori jelszava kiszivárgott, például egy fertőzött számítógépről vagy egy korábbi adatszivárgásból.
- Védtelen feltöltőűrlap: a weboldal engedi, hogy a látogatók PHP-fájlt töltsenek fel.
Mit tegyen?
- Ne csak a megjelölt fájlokat törölje. A támadók általában több helyen hagynak hátsóajtót, ezért a megjelölt fájl törlése után az ok megszüntetése nélkül a fertőzés napokon belül visszatér.
- Cserélje le a jelszavakat: a cPanel fiók jelszavát, az FTP-fiókokét, az adatbázis-felhasználókét és a weboldal összes adminisztrátorának jelszavát. Kapcsolja be a kétlépcsős azonosítást a cPanelben. Ha a jelszó egy fertőzött gépről szivároghatott ki, előbb a saját gépét vizsgálja át víruskeresővel.
- Frissítsen mindent: a CMS magját, az összes bővítményt és sablont. A nem használt bővítményeket és sablonokat törölje, ne csak kapcsolja ki. WordPressnél a bővítmények automatikus frissítése segít, hogy ez ne maradjon el újra.
- Kezelje a megjelölt fájlokat:
- Az Infected állapotú fájlokat tisztítsa meg a seprű ikonnal, vagy cserélje le őket az eredeti, tiszta változatra (például a CMS vagy a bővítmény hivatalos csomagjából). A támadó által létrehozott, a weboldalhoz nem tartozó fájlokat törölje.
- A Cleaned és Content removed állapotú fájlokból a kártékony rész már eltávolításra került. Ellenőrizze, hogy a weboldal ezután is helyesen működik-e; ha egy kiürített fájl a weboldal része volt, cserélje le a tiszta változatára.
- Ha nagyon sok fájl érintett, egyszerűbb lehet a weboldalt egy fertőzés előtti mentésből visszaállítani. A visszaállításról a mentésből való visszaállításról szóló cikk ír. A visszaállítás után a 2. és a 3. lépést ne hagyja ki, különben ugyanazon a résen újra bejutnak.
- Nézze át, ami nem fájl: a támadók gyakran új adminisztrátori felhasználót hoznak létre a weboldalban, kártékony kódot írnak az adatbázisba, vagy időzített feladatot (cron jobot) vesznek fel. Ellenőrizze a weboldal felhasználóit és a cPanel Cron-feladatok oldalát.
- Ha nem boldogul: nyisson hibajegyet az Ügyfélportálon. Megmondjuk, mely fájlok érintettek és mióta, ami segít megtalálni a betörés útját; a weboldal kódjának javítását a weboldal fejlesztője tudja elvégezni.
A WordPress oldalak megerősítéséhez az alapvető WordPress biztonsági beállításokról szóló cikkünk ad ellenőrzőlistát.
Miért korlátozhatjuk a fertőzött tárhelyet?
Egy fertőzött tárhelyről gyakran kéretlen leveleket küldenek, adathalász oldalt üzemeltetnek, vagy más szervereket támadnak. Ez a szerveren lévő többi ügyfelet is veszélyezteti, például a szerver IP-címének feketelistára kerülésével. Az Általános Szerződési Feltételek szerint ha a tárhelyen fertőzött tartalmat észlelünk, a tartalmat karanténba helyezhetjük, erről értesítjük Önt, és Önnek haladéktalanul intézkednie kell a fertőzés eltávolításáról. Ha 7 napon belül nem kezdi meg, vagy a fertőzés más rendszereket veszélyeztet, további védelmi intézkedéseket is tehetünk, a fokozatosság elvét követve.
Ha a tárhelyét emiatt felfüggesztettük, a tisztítás után jelezze hibajegyben, és újra aktiváljuk. A felfüggesztés egyéb okairól a szolgáltatás felfüggesztéséről szóló cikk ír.
Hogyan előzhető meg?
- Frissítse rendszeresen a weboldal motorját, bővítményeit és sablonjait.
- Csak hivatalos forrásból telepítsen bővítményt és sablont.
- Használjon minden felülethez külön, erős jelszót, és ahol lehet, kétlépcsős azonosítást.
- FTP helyett lehetőleg SFTP-t vagy a cPanel fájlkezelőjét használja, és törölje a már nem használt FTP-fiókokat.
- Készítsen rendszeresen saját mentést is, hogy fertőzés esetén legyen tiszta állapot, ahova visszatérhet.