Na naših strežnikih gostovanja cPanel ImunifyAV+ spremlja datoteke gostovanj in označi tiste, ki vsebujejo zlonamerno kodo: zadnja vrata PHP (web shell), podtaknjena v vdrto spletno stran, strani za ribarjenje, skripte za pošiljanje pošte in odseke kode, ki obiskovalce preusmerjajo na druge strani. Če si dobil obvestilo, da smo na tvojem gostovanju našli zlonamerno kodo, ta članek opisuje, kje vidiš označene datoteke in kaj moraš storiti, da bo spletna stran spet varna.

Kje vidim, kaj je našel?

Na začetni strani cPanel v skupini Varnost klikni ikono ImunifyAV.

Stran Malware scanner ima tri zavihke:

• MALICIOUS: seznam datotek, za katere je bilo ugotovljeno, da so zlonamerne, z datumom pregleda, potjo datoteke, imenom najdene zlonamerne kode (Reason) in stanjem (Status).
• SCAN: seznam pregledov, opravljenih na računu: kdaj, v katerem imeniku, koliko datotek je pregledal in kakšen je bil rezultat.
• HISTORY: dnevnik dogodkov z datotekami: kdaj se je kaj zgodilo s katero datoteko in kdo je to sprožil (sistem ali uporabnik).

Preglede opravlja strežnik, iz računa jih ni treba in jih tudi ni mogoče zagnati. Vrstica SUMMARY nad seznamom kaže število označenih datotek in čas zadnjega pregleda (Last scan). S filtrom Status je mogoče datoteke filtrirati po stanju:

Stanje	Pomen
Infected	Datoteka vsebuje zlonamerno kodo in še ni očiščena.
Cleanup in progress	Čiščenje poteka.
Cleaned	Sistem je odstranil zlonamerni del, preostanek datoteke je ostal.
Content removed	Celotna vsebina datoteke je bila zlonamerna, zato je sistem njeno vsebino odstranil.

Ogled in čiščenje datotek

Na koncu vrstice datoteke, v stolpcu Actions, sta dve ikoni:

• Ikona očesa (View item): odpre datoteko. Na zavihku View content je vidna vsebina datoteke, zavihek Diff pa kaže njene spremembe. Tako lahko preveriš, ali je datoteka del spletne strani ali jo je ustvaril napadalec.
• Ikona metle (Clean up malicious code): odstrani zlonamerno kodo. V potrditvenem oknu ga zaženeš z gumbom YES, CLEAN UP.

Pred čiščenjem sistem pripravi varnostno kopijo izvirne datoteke, ki je na voljo 14 dni. Če je bil zlonameren le del datoteke, preostanek ostane, njeno stanje pa bo Cleaned. Če je bila zlonamerna celotna vsebina, datoteka ostane prazna na svojem mestu, njeno stanje pa bo Content removed. Po čiščenju se namesto metle prikaže ikona ure (Restore original item): z njo lahko obnoviš izvod pred čiščenjem, torej verjetno okuženega, če je čiščenje pokvarilo sicer potrebno datoteko. Očiščene datoteke ostanejo na seznamu 14 dni varnostne kopije.

cPanel datoteke, naložene prek upravitelja datotek, preveri že ob nalaganju: če v datoteki najde znano zlonamerno kodo, nalaganje zavrne s sporočilom „Naložena datoteka vsebuje virus, zato jo je sistem izbrisal”.

Zakaj se je gostovanje okužilo?

Zlonamerna koda skoraj nikoli ne vstopi prek strežnika, temveč prek spletne strani ali z ukradenim geslom. Najpogostejši vzroki:

• Zastarel CMS, vtičnik ali predloga: napadalec prek znane varnostne luknje naloži datoteko na gostovanje. Pri WordPressu, Joomli in pogonih spletnih trgovin je to najbolj značilno.
• Vdrt (nulled) premium vtičnik ali predloga: „brezplačne” različice pogosto že vsebujejo zadnja vrata; o tem piše članek o nevarnostih vtičnikov nulled.
• Ukradeno geslo: geslo cPanel, FTP ali skrbnika spletne strani je ušlo, na primer z okuženega računalnika ali iz prejšnjega uhajanja podatkov.
• Nezaščiten obrazec za nalaganje: spletna stran obiskovalcem dovoli nalaganje datotek PHP.

Kaj narediti?

1. Ne briši le označenih datotek. Napadalci običajno pustijo zadnja vrata na več mestih, zato se okužba po brisanju označene datoteke brez odprave vzroka vrne v nekaj dneh.
2. Zamenjaj gesla: geslo računa cPanel, gesla računov FTP, uporabnikov podatkovnih baz in vseh skrbnikov spletne strani. V cPanelu vklopi dvostopenjsko preverjanje. Če je geslo lahko ušlo z okuženega računalnika, najprej z antivirusnim programom preglej svoj računalnik.
3. Posodobi vse: jedro CMS, vse vtičnike in predloge. Neuporabljene vtičnike in predloge izbriši, ne le izklopi. Pri WordPressu samodejno posodabljanje vtičnikov pomaga, da to ne bo spet izostalo.
4. Obravnavaj označene datoteke:
   • Datoteke s stanjem Infected očisti z ikono metle ali jih zamenjaj z izvirno, čisto različico (na primer iz uradnega paketa CMS ali vtičnika). Datoteke, ki jih je ustvaril napadalec in ne pripadajo spletni strani, izbriši.
   • Iz datotek s stanjem Cleaned in Content removed je bil zlonamerni del že odstranjen. Preveri, ali spletna stran tudi potem deluje pravilno; če je bila izpraznjena datoteka del spletne strani, jo zamenjaj s čisto različico.
   • Če je prizadetih zelo veliko datotek, je lahko preprosteje spletno stran obnoviti iz varnostne kopije pred okužbo. O obnovitvi piše članek o obnovitvi iz varnostne kopije. Po obnovitvi ne izpusti 2. in 3. koraka, sicer bodo skozi isto luknjo vstopili znova.
5. Preglej, kar ni datoteka: napadalci v spletni strani pogosto ustvarijo novega skrbniškega uporabnika, v podatkovno bazo zapišejo zlonamerno kodo ali dodajo načrtovano opravilo (cron job). Preveri uporabnike spletne strani in stran Opravila cron v cPanelu.
6. Če ne gre: odpri zahtevek v portalu za stranke. Povedali ti bomo, katere datoteke so prizadete in od kdaj, kar pomaga najti pot vdora; popravilo kode spletne strani lahko opravi razvijalec spletne strani.

Za utrditev strani WordPress daje kontrolni seznam naš članek o osnovnih varnostnih nastavitvah WordPressa.

Zakaj lahko okuženo gostovanje omejimo?

Z okuženega gostovanja pogosto pošiljajo neželeno pošto, poganjajo stran za ribarjenje ali napadajo druge strežnike. To ogroža tudi druge stranke na strežniku, na primer z uvrstitvijo naslova IP strežnika na črni seznam. Po Splošnih pogojih poslovanja lahko, če na gostovanju zaznamo okuženo vsebino, vsebino postavimo v karanteno, o tem te obvestimo, ti pa moraš nemudoma ukrepati za odstranitev okužbe. Če v 7 dneh ne začneš ali okužba ogroža druge sisteme, lahko po načelu postopnosti sprejmemo tudi nadaljnje zaščitne ukrepe.

Če smo tvoje gostovanje zaradi tega začasno ustavili, to po čiščenju sporoči v zahtevku in ga bomo znova aktivirali. O drugih razlogih za začasno ustavitev piše članek o začasni ustavitvi storitve.

Kako to preprečiti?

• Redno posodabljaj pogon spletne strani, vtičnike in predloge.
• Vtičnike in predloge nameščaj le iz uradnih virov.
• Za vsak vmesnik uporabljaj ločeno, močno geslo in, kjer je mogoče, dvostopenjsko preverjanje.
• Namesto FTP po možnosti uporabljaj SFTP ali upravitelja datotek cPanel in izbriši račune FTP, ki jih ne uporabljaš več.
• Redno pripravljaj tudi lastno varnostno kopijo, da imaš ob okužbi čisto stanje, h kateremu se lahko vrneš.