Administracja stron i sklepów

Co się dzieje ze stroną bez opieki

Strona nieaktualizowana przez rok nie wygląda inaczej. Wygląda tak samo, dopóki nie przestanie działać albo ktoś nie wykorzysta jej do własnych celów. Oto, co znaleźliśmy w serwisach, które trafiły do nas w ostatnich miesiącach:

• Wtyczka udająca element systemu, ukrywająca się przed listą wtyczek w panelu, z dostępem do plików serwera. Właściciel nie widział jej w panelu przez kilka tygodni.
• 102 podstrony o tematyce hazardowej wstrzyknięte cztery lata wcześniej i indeksowane przez cały ten czas. Firma dowiedziała się o nich od nas.
• Dziesięć plików furtek rozsianych po katalogach sklepu, pozwalających wrócić do serwisu nawet po zmianie haseł.
• Ukryte odnośniki do serwisów hazardowych w stopce strony głównej, wysunięte poza widoczny obszar ekranu. Dla odwiedzającego niewidoczne, dla Google czytelne jako rekomendacja.
• Treść wstrzyknięta w obcym alfabecie na ośmiu z dziesięciu subdomen jednego konta, obecna od ponad roku.

Żaden z tych serwisów nie miał wykupionej opieki technicznej. Wszystkie działały normalnie aż do momentu, w którym ktoś sprawdził, co jest w kodzie.

Dlaczego aktualizacje są ważniejsze niż wtyczka antywirusowa

Zdecydowana większość włamań na strony oparte na WordPressie nie wykorzystuje luki w samym systemie, tylko w nieaktualnej wtyczce. Po opublikowaniu poprawki bezpieczeństwa informacja o luce staje się publiczna, a automaty zaczynają przeszukiwać sieć w poszukiwaniu serwisów, które jeszcze jej nie wgrały. Okno między wydaniem poprawki a pierwszymi próbami włamania liczy się w dniach.

Dlatego opieka techniczna polega przede wszystkim na regularności, a nie na jednorazowej instalacji zabezpieczeń.

Co robimy, gdy strona jest już zainfekowana

1. Zabezpieczamy dowody. Kopia plików i logów serwera przed jakąkolwiek zmianą. Bez tego nie da się później ustalić, kiedy i którędy ktoś wszedł.
2. Szukamy wszystkiego, nie pierwszego znaleziska. Włamania rzadko zostawiają jeden plik. Usunięcie tego, który widać, zwykle kończy się powrotem problemu po kilku dniach.
3. Czyścimy i uszczelniamy. Usunięcie kodu, wymiana kluczy uwierzytelniających, zmiana haseł, przegląd kont użytkowników i zadań cyklicznych.
4. Sprawdzamy skutki w wyszukiwarce. Wstrzyknięte podstrony trzeba wyindeksować, a przy oznaczeniu domeny jako niebezpiecznej złożyć wniosek o ponowne sprawdzenie.
5. Wdrażamy opiekę, żeby to samo nie wróciło za pół roku.

Usunięcie skutków włamania wyceniamy indywidualnie, bo zakres zależy od tego, jak długo problem trwał i ilu serwisów dotyczy. Przy współdzielonym koncie hostingowym infekcja jednej strony zwykle oznacza sprawdzenie wszystkich.

Dla kogo to jest