Trusted by development & marketing teams at
אזהרת "Deceptive site ahead" ב-Chrome, או התראת אבטחה ב-Search Console. התנועה לאתר כבר נפגעה, והמוניטין של הדומיין ממשיך להיפגע.
הגולשים מועברים לאתר למכירת תרופות, לאתר קזינו או לעמוד הונאה. בדרך כלל מדובר ב-loader שהוזרק ל-header של התבנית, או בקובץ .htaccess שנכתב מחדש.
ספאם נשלח מהשרת או שהתקבלו תלונות abuse, וחברת האחסון השביתה את החשבון. עכשיו היא קובעת את לוח הזמנים, וכל שעה שבה האתר אינו זמין עולה לכם בהזמנות.
הסיסמה הפסיקה לעבוד, או שהמשתמש שלכם נעלם. לתוקף יש הרשאות אדמין והוא דואג להשאיר לעצמו גישה.
מאות כתובות ביפנית או בנושא תרופות מופיעות באינדקס תחת הדומיין שלכם. ניקוי הקבצים לבדו לא יסיר אותן מגוגל.
אין נזק גלוי, אבל האתר נעשה איטי ויש בו חשבונות שלא יצרתם. הפריצה עשויה להיות רדומה: באחד המקרים שחקרתי היא נשארה כך במשך 84 יום לפני שהופעלה.
סורק או חברת האחסון מדווחים שהאתר חשוף, אבל אתם לא רואים דבר. זה מצב נפוץ למדי: ייתכן שעדיין אין באתר קוד זדוני, אבל די בבוט אחד כדי להגיע לכל אחד מהתרחישים שתוארו למעלה.
הסורק של חברת האחסון מוחק את הקבצים הנגועים בזמן שהאתר עדיין רץ, וכעבור שעה הם חוזרים. דרך הכניסה נשארה פתוחה, והקוד הזדוני השאיר עותקים נוספים שהסורק כלל אינו בודק.
אי אפשר לנקות את האתר כל עוד הקוד הזדוני ממשיך לרוץ. לכן אני עוצר אותו תחילה, ואז עובר על רשומות השרת, מאתר את נקודת הכניסה, מסיר כל עותק חבוי, סוגר את הפרצה ומוודא מבחוץ שהאתר נקי.
תחילה אני יוצר snapshot מלא של הקבצים ושל בסיס הנתונים, ואז עוצר את הרצת הקוד הזדוני. ברוב האתרים נדרשת השבתה של כמה שעות; כשכל שעה עולה כסף, אני עובד על עותק מבודד, ובכל מקרה מחליף סיסמאות, מחדש את מפתחות האימות (salts) ומבטל את כל ה-sessions וה-cookies בדומיין.
אני משווה כל קובץ של וורדפרס לעותק נקי של אותה גרסה, עובר ידנית על קובצי התבנית והתוספים, בודק את בסיס הנתונים וסורק את ה-access logs עד לבקשה הזדונית הראשונה. סורקים מסייעים, אבל אינם מחליפים שיקול דעת: באחד המקרים האחרונים רוב 41 הממצאים היו תוספי אבטחה שזיהו את הקוד של עצמם.
קוד זדוני אמיתי אינו נשאר במקום אחד; הוא מפזר עותקים ברחבי האתר כדי שאחד מהם יוכל לשחזר את האחרים. באחד המקרים האחרונים מצאתי תשעה עותקים כאלה, ואת כולם היה צריך להסיר באותו מעבר:
mu-pluginsplugins/db.php · object-cache.php.htaccess · .user.inifunctions.phpwp_options.dat · .lkghashed .zipWP-Cronאני מסיר הכול ידנית, במקום להסתמך על כפתור תיקון אוטומטי שעלול לפספס חלק מהקוד הזדוני או לפגוע באתר תקין.
אני סוגר את הפרצה, מעדכן את וורדפרס, התוספים והתבניות, ומשדרג גרסאות PHP שאינן נתמכות. בנוסף אני מסיר תוספים מיותרים, מגדיר Firewall והגנה על ההתחברות, בודק משתמשי אדמין והרשאות קבצים, מקשיח את wp-config ואת xmlrpc ומגדיר גיבויים אוטומטיים מחוץ לשרת.
אני מאמת את ניקיון האתר באמצעות סריקה חיצונית. אם גוגל סימנה את האתר, אני מגיש בקשה לסקירת אבטחה ומטפל בהתראה ב-Search Console כדי להסיר את המסך האדום.
תקבלו דוח כתוב שמפרט מה נמצא, מה הוסר, מה השתנה ודרך איזו פרצה בוצעה החדירה. לאחר מכן אני מנטר את האתר במשך 30 יום, כדי לזהות פעילות חריגה עוד לפני שתבחינו בה.
להסיר את הקוד הזדוני מהאתר
לוודא שזה לא חוזר
הקוד הזדוני הוסר ואפשר להחזיר את האתר לאוויר בבטחה. את ההקשחה תצטרכו לבצע בעצמכם.
האתר מנוקה, מתוקן, מוקשח, מגובה ומנוטר, כך שהדרך פנימה נסגרת ולא רק מתרוקנת.
כל המחירים בשקלים ואינם כוללים מע״מ. המחיר הוא לפי אתר, לא לפי שרת או חשבון אחסון; אם יש כמה אתרים באותו חשבון, כל אחד מתומחר בנפרד והבדיקה ברמת החשבון כלולה בעבודה.
ניקוי השרת אינו מסיר את הנזק מגוגל. בעלי הרשאה לא מורשים ב-Search Console עדיין יכולים לצפות בנתונים שלכם, וכתובות הספאם נשארות באינדקס זמן רב לאחר שהקבצים שיצרו אותן הוסרו.
התוספת הזו אינה חובה. אם יש לכם ידע טכני, תוכלו לבצע את אותם שלבים בעצמכם; נדרש לכך זמן, לא פתרון קסם.
במשך 60 יום ממסירת האתר, כל הדבקה חוזרת באתר ששחזרתי היא באחריותי. אני מנקה אותו שוב ללא תשלום ובאותה עדיפות שמקבלת קריאת חירום, ולכן איתור הדרך פנימה הוא חלק מכל עבודה ולא שדרוג.
בתום 60 הימים רוב הלקוחות עוברים לתחזוקת וורדפרס שוטפת, כדי שהעדכונים והגיבויים לא יוזנחו שוב.
לא פלט אוטומטי של סורק, אלא מסמך עם תקציר מנהלים, שורש הבעיה, ציר זמן, כל רכיב וגרסה שהשתנו ותוצאות האימות. תוכלו להעביר אותו לחברת האחסון, ללקוח או לחברת הביטוח.
כלי יכול להציג כל חולשה מוכרת באתר שלכם, אבל אינו יודע איזו מהן נוצלה בפועל לחדירה.
תיעדתי את כל תהליך השחזור, כולל כל שלב שאני מבצע, והוא זמין בחינם. אם יש לכם גיבויים, קצת סבלנות והאתר אינו מייצר כרגע הכנסות שאי אפשר לסכן, תוכלו לבצע את התהליך בעצמכם ולדבר איתי אם הקוד הזדוני חוזר.
בלי טופס, בלי שיחת היכרות ובלי התחייבות. ספרו לי מה אתם רואים, ואני אסביר לכם מה הבעיה וכמה יעלה לפתור אותה.
אני עונה בדרך כלל תוך שעה, כולל ערבים וסופי שבוע.