Siedemnaście kategorii infekcji, które rozpoznajemy w audycie, zgrupowanych w pięć rodzin według tego, gdzie infekcja jest widoczna. Podział nie jest akademicki, tylko roboczy i wynika z tego, czego faktycznie szukamy i po czym rozpoznajemy dany rodzaj włamania.
Przy każdej kategorii podajemy definicję, objaw i sposób sprawdzenia. Nie podajemy kodu naprawy, a opisujemy, co i dlaczego, bo niepełna instrukcja w rękach osoby bez doświadczenia zwykle kasuje działającą część strony i zostawia drogę powrotu.
Jedna uwaga, zanim zaczniesz szukać swojego przypadku: infekcje prawie nigdy nie chodzą pojedynczo. Typowy łańcuch to podatny dodatek, potem tylne wejście, potem wstrzyknięty spam, a na końcu czarna lista.
Najczęstsza rodzina. Strona wygląda normalnie, a problem widać dopiero w Google. Właśnie dlatego bywa odkrywana przez klienta, nie przez właściciela.
Wstrzyknięcie treści i linków o tematyce hazardowej, widocznych dla wyszukiwarki, a niewidocznych dla odwiedzającego. Strona kancelarii albo hotelu wygląda bez zmian, ale pod jej domeną pojawiają się wpisy o kasynach i zakładach.
sprawdź Wpisz w Google: site:twojadomena.pl casinoTa sama mechanika, ale zamiast hazardu promowane są leki na receptę. Bliźniacza odmiana casino injection i równie częsta. Zwykle pierwszy dowiaduje się klient, który wpisał nazwę firmy w wyszukiwarkę.
sprawdź Wpisz w Google: site:twojadomena.pl viagraSetki albo tysiące fałszywych podstron dopisanych do Twojej domeny, każda pod inną frazę. Domena ma kilkadziesiąt realnych podstron, a wyszukiwarka zna ich tysiące.
sprawdź Porównaj liczbę wyników zapytania site: z liczbą swoich podstronDługie listy fraz dopisane do stopki albo nagłówka, ukryte przed człowiekiem: białym tekstem na białym tle, mikroskopijnym pismem albo regułą chowającą element. Strona zaczyna pojawiać się na frazy z zupełnie obcej branży.
sprawdź Zaznacz całą stronę i wklej do edytora tekstuPodmieniony plik mapy zawiera adresy, których nigdy nie utworzyłeś. Służy temu, żeby wyszukiwarka szybciej zaindeksowała wstrzyknięte podstrony. Jeden z najprostszych do samodzielnego sprawdzenia śladów.
sprawdź Otwórz twojadomena.pl/sitemap.xml i przejrzyj adresyTego nie widać ani na stronie, ani w wynikach wyszukiwania. Trzeba zajrzeć do kodu źródłowego albo do plików na serwerze.
Fragment odkodowujący i uruchamiający ukryty ciąg znaków w trakcie działania strony. W plikach serwisu praktycznie zawsze oznacza złośliwy kod: legalne rozwiązania nie mają powodu ukrywać swojej treści przed właścicielem.
sprawdź Szukaj w kodzie fraz: eval, base64_decode, fromCharCodeZnacznik ładujący plik z domeny, której nie znasz, dopisany do szablonu. Pozwala atakującemu zmieniać zachowanie strony bez ponownego dostępu do serwera, bo kod pobiera się przy każdym wejściu.
sprawdź Ctrl+U i przejrzyj wszystkie znaczniki script pod kątem obcych adresówDopisane bloki opisujące produkty, oferty i oceny, których firma nie ma. Kancelaria zaczyna wyświetlać się w wynikach z pięcioma gwiazdkami ocen produktu, którego nie sprzedaje.
sprawdź Test wyników z elementami rozszerzonymi od GoogleRodzina, która najskuteczniej ukrywa się przed właścicielem strony, bo działa wybiórczo.
Odwiedzający ląduje na obcej domenie. Przekierowanie bywa wybiórcze: tylko na telefonach, tylko przy wejściu z wyników wyszukiwania albo tylko raz na dany adres IP. Dlatego właściciel często nie widzi problemu na własnym sprzęcie.
sprawdź Wejdź z telefonu, w trybie prywatnym, z wyników Google, przez dane komórkoweReguły w pliku konfiguracyjnym serwera serwują inną treść robotowi wyszukiwarki, a inną człowiekowi. Dzięki temu spam zostaje w indeksie, a strona wygląda normalnie dla każdego, kto ją odwiedza.
sprawdź W Search Console porównaj zbadany kod HTML z tym, co widzisz w przeglądarceNajważniejsza rodzina przy naprawie. To ona decyduje o tym, czy infekcja wróci po wyczyszczeniu.
Ukryty plik pozwalający wrócić niezależnie od zmienionych haseł. Leży zwykle tam, gdzie nie powinno być plików wykonywalnych, na przykład w katalogu z wgranymi obrazkami, pod nazwą udającą systemową.
objaw Infekcja wraca kilka dni po każdym czyszczeniuAtakujący ma uprawnienia właściciela. Zwykle przez słabe albo powtórzone hasło, brak drugiego składnika uwierzytelnienia albo wyłudzenie danych logowania fałszywą stroną. Nie potrzebuje już żadnej luki.
sprawdź Lista użytkowników i lista dodatków w panelu, zwłaszcza daty utworzeniaWtyczka, motyw albo biblioteka z publicznie udokumentowaną luką, której nie załatano. Najczęstsza droga wejścia w ogóle. Od ujawnienia podatności do pierwszej automatycznej próby ataku mijają zwykle godziny.
sprawdź Lista dodatków i data ostatniej aktualizacji każdego z nichTo nie są osobne infekcje, tylko konsekwencje powyższych. Wymieniamy je osobno, bo najczęściej właśnie one są momentem, w którym ktoś w końcu zauważa problem.
Domena oznaczona jako niebezpieczna, z pełnoekranowym ostrzeżeniem w Chrome, Firefoksie i Safari. Strona zostaje odcięta praktycznie od całego ruchu, nawet jeśli technicznie działa poprawnie.
sprawdź Search Console, sekcja Problemy dotyczące bezpieczeństwaSerwer wysyła masowo wiadomości, o których nikt nie wie. Domena albo adres serwera trafia na listy blokujące, przez co przestaje docierać także legalna korespondencja firmy.
sprawdź Folder wysłanych na serwerze i ostrzeżenia od hostinguDomyślny tytuł systemu w wynikach wyszukiwania, przykładowy wpis sprzed lat, nieusunięte elementy instalacyjne. Same w sobie nie są włamaniem, ale mówią automatom, że serwis jest bez nadzoru, co podnosi ryzyko ataku.
sprawdź Wpisz nazwę firmy w Google i przeczytaj tytuł oraz opis wynikuTo najważniejsza rzecz na tej stronie. Rodzaje z listy powyżej prawie nigdy nie występują pojedynczo.
| Etap | Co się dzieje | Kategoria | Czy widoczne dla właściciela |
|---|---|---|---|
| 1. Wejście | Atakujący wykorzystuje lukę we wtyczce albo przejmuje panel | Podatna wtyczka, przejęty panel | Nie |
| 2. Zabezpieczenie powrotu | Zostaje umieszczony ukryty plik dający dostęp niezależnie od haseł | Webshell i backdoor | Nie |
| 3. Wykorzystanie | Wstrzyknięcie spamu, dopisanie podstron, podmiana mapy strony | Casino, pharma, doorway, spam w mapie | Dopiero w wynikach wyszukiwania |
| 4. Ukrycie | Cloaking i wybiórcze przekierowania, żeby właściciel nie zauważył | Cloaking, złośliwe przekierowanie | Nie na własnym sprzęcie |
| 5. Skutek | Ostrzeżenie Google, poczta w spamie, spadek pozycji | Czarna lista, skrypt pocztowy | Tak, i zwykle to jest ten moment |
Stąd wniosek praktyczny: naprawa polegająca wyłącznie na usunięciu widocznego spamu prawie zawsze kończy się nawrotem, bo usuwa etap trzeci, zostawiając pierwszy i drugi. Dlatego w każdej naszej naprawie punktem obowiązkowym jest znalezienie drogi wejścia i usunięcie mechanizmu powrotu, a nie samo posprzątanie objawów.
To odmiana wstrzyknięcia spamu, w której atakujący dopisuje do cudzego serwisu treści promujące leki na receptę, najczęściej środki na potencję. Celem jest wykorzystanie zaufania, jakim wyszukiwarka darzy istniejącą domenę, do wypozycjonowania własnych treści.
Strona wygląda normalnie dla odwiedzającego, ale zapytanie site: z nazwą leku zwraca wyniki pod jej domeną, a mapa strony zawiera adresy z farmaceutycznymi słowami kluczowymi. Bliźniaczą odmianą jest casino injection, gdzie zamiast leków promowany jest hazard.
Cloaking to serwowanie innej treści robotowi wyszukiwarki, a innej człowiekowi. Na zainfekowanych stronach realizuje się go zwykle regułami w pliku konfiguracyjnym serwera albo kodem sprawdzającym, kto wysłał żądanie.
Dzięki temu spam pozostaje w indeksie wyszukiwarki, a właściciel strony widzi ją bez zmian i nie podejrzewa włamania. Wybiórczość bywa jeszcze węższa: przekierowanie działa tylko na telefonach, tylko przy wejściu z wyników wyszukiwania albo tylko raz na dany adres IP.
Webshell, nazywany też backdoorem, to ukryty plik pozwalający atakującemu wracać do serwisu niezależnie od zmienionych haseł i usuniętych widocznych infekcji.
Zwykle leży w katalogu, w którym nie powinno być plików wykonywalnych, na przykład tam, gdzie trafiają wgrywane obrazki, i nosi nazwę udającą systemową. To główna przyczyna sytuacji, w której infekcja wraca kilka dni po czyszczeniu: usunięto skutek, a nie drogę powrotu.
Siedemnaście kategorii, zgrupowanych w pięć rodzin według tego, gdzie infekcja jest widoczna: spam w wynikach wyszukiwania, kod ukryty w plikach strony, przekierowania i cloaking, mechanizmy trwałego dostępu oraz skutki widoczne poza samą stroną, jak ostrzeżenie Google czy wysyłka spamu z serwera.
Podział nie jest akademicki, tylko roboczy i wynika z tego, czego szukamy w audycie i po czym rozpoznajemy dany rodzaj włamania.
Tak i to jest typowe, a nie wyjątkowe. Zwykle zaczyna się od podatnego dodatku, przez który atakujący wchodzi, potem zostaje umieszczony webshell zapewniający powrót, następnie pojawia się wstrzyknięty spam i fałszywe podstrony, a na końcu domena trafia na czarną listę.
Dlatego naprawa polegająca wyłącznie na usunięciu widocznego spamu praktycznie zawsze kończy się nawrotem: usuwa jeden element łańcucha, zostawiając pozostałe.
Dwanaście sygnałów włamania z metodą weryfikacji, każdy do wykonania samodzielnie w kilka minut.
Sprawdź swoją stronęCztery ścieżki naprawy z cenami i co zrobić w pierwszej godzinie po odkryciu włamania.
Zobacz szczegółyJak zdjąć ostrzeżenie Safe Browsing, ile to trwa i czego nie robić przed złożeniem wniosku.
Zobacz proceduręPodaj adres strony, a przejdziemy tę listę za Ciebie. Audyt szuka wszystkich siedemnastu rodzajów naraz, razem z szybkością, bezpieczeństwem i dostępnością. Bez dostępów do serwera i bez opłaty.
