Provera sajta na malver: šta online skeneri vide, a šta ne
Možda vam je klijent napisao da ga sajt „vodi negde čudno“. Možda je hosting poslao mejl sa rečju malware u naslovu. Ili vam se samo nešto ne dopada: sajt je sporiji, u Google-u se pojavio rezultat koji niste vi napravili, u listi korisnika stoji ime koje ne prepoznajete. U svim tim slučajevima prvo pitanje je isto: da li je sajt zaražen ili ne.
Dobra vest je da prva provera sajta na malver ne mora ništa da košta i ne mora da traje duže od minuta. Loša vest, o kojoj se retko govori iskreno, je da besplatna online provera ima jasnu granicu. Ona vidi samo ono što svako na internetu vidi. Sve što je sakriveno u fajlovima i bazi ostaje van njenog dometa.
U ovom tekstu objašnjavamo kako radi provera sajta na malver, šta tačno može da pronađe, gde prestaje, kako da pročitate rezultat i kada je vreme za dubinski pregled.
Ukratko: besplatna provera sajta na malver pregleda javno dostupan sadržaj (HTML, skripte, redirekcije, Google Safe Browsing) i brzo potvrđuje vidljive probleme. Čist rezultat nije dokaz da je sajt čist, jer backdoor u fajlovima i bazi spolja nije vidljiv. Ako vidite simptome a provera je čista, potreban je pregled na samom sajtu.
Zašto uopšte proveravati sajt ako „sve radi“
Najčešća zabluda kod vlasnika sajtova je da bi hakovanje „primetili“. U praksi je obrnuto. Savremeni malver je napravljen da ga vlasnik ne vidi.
Napadaču nije cilj da vam pokvari sajt. Cilj mu je da koristi vaš sajt: da preusmerava posetioce na svoje stranice, da ubacuje spam linkove koje Google vidi a vi ne, da šalje mejlove sa vašeg servera, ili da krade podatke koje kupci unose. Sve to radi bolje i duže ako vi ne znate da se dešava.
Zato je infekcija često podešena tako da:
- se aktivira samo za posetioce koji dolaze iz Google pretrage, a ne kad vi kucate adresu direktno,
- se prikazuje samo na mobilnim telefonima,
- preskače korisnike koji su ulogovani u WordPress administraciju,
- se pokazuje samo Google-ovom robotu, da bi spam ušao u indeks,
- radi samo u određenim satima ili za posetioce iz određenih zemalja.
Zbog toga vlasnik sajta može mesecima da gleda svoj sajt i da ne vidi ništa, dok ga posetioci, Google i hosting vide sasvim drugačije. Redovna provera sajta na malver je način da vidite ono što vidi stranac. Detaljniji spisak simptoma imate u tekstu znaci da je sajt hakovan.
Kako radi online provera sajta na malver
Online provera, odnosno udaljeni skener, ponaša se kao posetilac. Server skenera otvara vaš sajt preko interneta, preuzima ono što bi preuzeo i pretraživač, i to analizira. Nema pristup vašem hostingu, fajlovima ni bazi. Zato i ne traži nikakav nalog, lozinku ni instalaciju.
Dobra udaljena provera obično radi nekoliko stvari istovremeno.
Pregled HTML-a i JavaScript-a
Skener preuzima izvorni kod naslovne strane i nekoliko unutrašnjih stranica, pa ga poredi sa poznatim obrascima malvera. Traži, na primer, skrivene iframe elemente, skripte koje se učitavaju sa sumnjivih domena, zamagljen (obfuskovan) JavaScript, kod koji ubacuje linkove van vidnog polja, ili skripte koje menjaju sadržaj forme za plaćanje.
Provera redirekcija i cloaking-a
Ovo je deo koji vlasnici najviše cene, jer sami teško mogu to da provere. Skener otvara sajt više puta, sa različitim „identitetima“: kao običan pretraživač, kao mobilni telefon, kao posetilac koji dolazi sa Google-a, kao Google-ov robot. Ako sajt odgovara različito u zavisnosti od toga ko ga gleda, to se zove cloaking, i to je jedan od najjasnijih znakova infekcije. Više o tome u tekstu sajt me preusmerava na drugi sajt.
Google Safe Browsing i liste reputacije
Provera pita Google-ovu bazu Safe Browsing da li je vaš domen označen kao opasan. Ako jeste, posetioci u Chrome-u već vide crveno upozorenje, a vi imate hitan problem. Šta tada raditi opisali smo u tekstu sajt na Google crnoj listi.
DNS, TLS i HTTP zaglavlja
Proverava se da li domen pokazuje tamo gde treba, da li je SSL sertifikat ispravan i da li zaglavlja odgovora otkrivaju nešto neobično, na primer neočekivano preusmeravanje na nivou servera.
Naša besplatna provera sajta radi upravo ovo: pregleda javni HTML i JS, do 8 unutrašnjih stranica i 8 skripti sa istog domena, proverava cloaking sa više identiteta, Google Safe Browsing, DNS i TLS lanac. Obično je gotova za manje od minuta.
Šta online provera NE može da vidi
Ovo je deo koji većina alata prećutkuje, a za vas je najvažniji. Udaljena provera sajta na malver vidi samo ono što server pošalje posetiocu. Ne vidi ono što stoji na serveru i čeka.
Backdoor fajlove. Backdoor je skriveni ulaz koji napadač ostavlja da bi mogao da se vrati. To je obično mali PHP fajl u folderu za otpremanje slika, među dodacima, ili zakopan u fajl teme. On ne ispisuje ništa na stranicu. Posetilac ga ne vidi, pa ga ne vidi ni udaljeni skener. Kako se backdoor traži opisali smo u tekstu kako pronaći backdoor na WordPress sajtu.
Kod u bazi koji se ne prikazuje uvek. Deo infekcija živi u bazi podataka i aktivira se samo pod određenim uslovima. Ako uslov nije ispunjen u trenutku provere, skener ne vidi ništa.
Skripte za slanje spama. Skripta koja šalje hiljade mejlova sa vašeg servera ne pojavljuje se na sajtu. Hosting je vidi u logovima, vi je vidite kad vam suspenduju nalog, a udaljena provera je ne vidi uopšte.
Lažne administratore. Nepoznat admin nalog postoji samo u bazi. Spolja se ne vidi.
Zakazane zadatke. Napadači često ostave cron zadatak koji ponovo ubacuje malver posle čišćenja. To je klasičan razlog zašto se infekcija vraća posle čišćenja.
Infekcije koje ciljaju samo određene posetioce. Ako malver radi samo za posetioce iz određene zemlje ili samo u određenim satima, skener može da ga promaši.
Zato važi jednostavno pravilo: sumnjiv rezultat je jak signal, a čist rezultat je samo dobar znak, ne dokaz.
Kako da pročitate rezultat provere
Rezultat obično spada u jednu od tri kategorije.
Rezultat pokazuje rizik
Skener je pronašao nešto što je vidljivo sa interneta: sumnjivu skriptu, skriveni iframe, redirekciju koja se aktivira za mobilne posetioce, ili oznaku na Google Safe Browsing listi. Ovo je potvrda da je sajt kompromitovan.
Šta raditi: ne paničite i ne brišite fajlove naslepo. Nađeni nalaz je samo ono što je vidljivo spolja. Gotovo uvek postoji i deo koji nije vidljiv, najčešće backdoor kroz koji je kod ubačen. Ako uklonite samo vidljivi deo, infekcija se vraća za nekoliko dana. Redosled koraka imate u tekstu sajt mi je hakovan, šta da radim.
Rezultat je čist, a vi nemate simptome
Ovo je najbolji mogući ishod za brzu proveru. Ne znači da je sajt garantovano čist, ali znači da trenutno ništa sumnjivo ne izlazi prema posetiocima. Dobro je da proveru ponovite povremeno, na primer jednom mesečno, ili da uvedete automatski nadzor.
Rezultat je čist, a vi imate simptome
Ovo je najvažniji slučaj i najčešće se pogrešno tumači. Ako vam je hosting poslao obaveštenje o zloupotrebi, ako vidite nepoznatog administratora, ako Google prikazuje spam stranice pod vašim domenom, ili ako je sajt neobjašnjivo spor, a provera ne pokazuje ništa, to ne znači da je hosting pogrešio. To znači da je problem tamo gde udaljena provera ne vidi: u fajlovima i bazi.
U tom slučaju sledeći korak je dubinski pregled na samom sajtu.
Šta znače najčešći nalazi
Kad provera pokaže rizik, izveštaj obično navodi i vrstu nalaza. Evo kako da ih razumete bez tehničkog predznanja.
Sumnjiva spoljna skripta. Sajt učitava JavaScript sa domena koji nema veze sa vašim sajtom, temom ni dodacima. To je najčešći način ubacivanja redirekcija i skripti za krađu podataka.
Zamagljen (obfuskovan) kod. Dugačak niz slova i brojeva bez ijedne čitljive reči, koji se dekodira tek u pretraživaču. Legitimni dodaci retko rade tako na javnim stranicama, malver skoro uvek.
Skriveni iframe. Okvir veličine nula piksela ili postavljen van ekrana, koji u pozadini učitava tuđu stranicu. Posetilac ga ne vidi, ali pretraživač ga izvršava.
Različit odgovor za različite posetioce. Sajt jedno prikazuje Google-ovom robotu, a drugo čoveku, ili jedno računaru, a drugo telefonu. Ovo je cloaking i gotovo uvek znači infekciju.
Oznaka na Google Safe Browsing listi. Google je već procenio da je sajt opasan. Posetioci vide upozorenje pre nego što stignu do sajta.
Skriveni linkovi. Linkovi ka kockarnicama, apotekama ili kladionicama sakriveni bojom, veličinom ili pozicijom. Namenjeni su Google-u, ne ljudima, i štete vašim pozicijama.
Nijedan od ovih nalaza ne govori kako je napadač ušao. To se vidi tek u fajlovima, logovima i bazi.
Udaljena provera i dubinski pregled: razlika u jednoj tabeli
| Udaljena provera | Dubinski pregled na sajtu | |
|---|---|---|
| Šta gleda | Javni HTML, skripte, redirekcije, reputaciju domena | Sve fajlove, bazu, korisnike, zakazane zadatke |
| Pristup | Ne treba ništa | Namenski alat na sajtu ili pristup hostingu |
| Trajanje | Obično ispod minuta | Zavisi od veličine sajta |
| Nalazi backdoor | Ne | Da |
| Nalazi skripte za spam | Ne | Da |
| Nalazi lažne administratore | Ne | Da |
| Cena | Besplatno | Deo usluge čišćenja |
Udaljena provera je trijaža. Dubinski pregled je dijagnoza.
Koliko često raditi proveru sajta na malver
Za većinu sajtova malih firmi razumno je ovako:
- Jednom mesečno brza udaljena provera, ako sajt nema automatski nadzor.
- Odmah posle svakog sumnjivog signala: mejla od hostinga, poruke klijenta, neobičnog rezultata u Google-u, nepoznatog korisnika.
- Posle svakog čišćenja, nekoliko dana zaredom, da se proveri da se infekcija nije vratila.
- Posle većih izmena, na primer instaliranja novih dodataka ili promene teme, posebno ako su preuzeti van zvaničnog repozitorijuma.
Za sajtove od kojih direktno zavisi prihod, kao što su prodavnice i sajtovi za rezervacije, ručna provera jednom mesečno nije dovoljna. Infekcija ume da radi nedeljama pre nego što je neko primeti. Tu ima smisla automatski nadzor koji svakodnevno poredi stanje fajlova i baze i javlja promenu.
Najčešće greške posle provere
Ignorisanje čistog rezultata kad postoje simptomi. Ako hosting kaže da sajt šalje spam, a provera je čista, verujte hostingu. On vidi logove servera.
Brisanje samo onoga što je skener pronašao. Vidljivi kod je posledica. Uzrok je ulaz kroz koji je ubačen. Bez zatvaranja ulaza, kod se vraća.
Instaliranje pet bezbednosnih dodataka odjednom. Dodaci ne uklanjaju ono što je već duboko u sistemu, a usporavaju sajt i otežavaju dijagnozu.
Vraćanje starog bekapa bez provere. Ako ne znate kada je infekcija počela, možete vratiti već zaraženu verziju.
Čekanje. Svaki dan u kom zaražen sajt radi znači nove posetioce preusmerene na tuđe stranice, dodatnu štetu u Google-u i rizik da vas hosting suspenduje.
Šta uraditi posle provere, korak po korak
- Pokrenite besplatnu proveru i sačuvajte rezultat, makar kao snimak ekrana.
- Zapišite simptome koje ste primetili: šta, kada, na kom uređaju, ko je javio.
- Ako je rezultat sumnjiv, ne brišite ništa. Napravite kopiju fajlova i baze i promenite lozinke za WordPress, hosting i FTP.
- Ako je rezultat čist, a simptomi postoje, zatražite dubinski pregled. Problem je u delu sajta koji se spolja ne vidi.
- Ako je rezultat čist i nema simptoma, zakažite sledeću proveru ili uvedite nadzor.
Ručna provera koju možete uraditi sami za 15 minuta
Online provera je najbrži prvi korak, ali postoji nekoliko stvari koje možete proveriti i sami, bez ikakvog alata. Zajedno sa udaljenom proverom daju mnogo potpuniju sliku.
1. Pogledajte sajt očima stranca
Otvorite anoniman prozor u pretraživaču. Ne kucajte adresu direktno, nego u Google ukucajte ime firme i kliknite na svoj rezultat. Ponovite isto sa telefona, preko mobilnog interneta, a ne preko kućnog Wi-Fi-ja. Mnoge infekcije se aktiviraju samo za posetioce iz pretrage i samo na mobilnom. Ako vas bar jednom odvede na tuđi sajt, imate potvrdu.
2. Proverite šta Google zna o vašem sajtu
U Google ukucajte site:vasdomen.rs i prođite kroz prvih nekoliko strana rezultata. Tražite stranice koje niste vi napravili: tekst na japanskom ili kineskom, stranice o lekovima, kazinu, kladionicama, replikama satova. Ako ih vidite, sajt je kompromitovan čak i ako naslovna strana izgleda normalno. Objašnjenje imate u tekstovima o japanese keyword hack-u i spam linkovima u Google pretrazi.
3. Otvorite Google Search Console
Ako imate podešen Search Console, otvorite izveštaj o bezbednosnim problemima. Ako Google vidi malver, prvo će to tamo prijaviti, često sa konkretnim adresama zaraženih stranica.
4. Prođite listu korisnika u WordPress-u
U administraciji otvorite Korisnici i filtrirajte samo administratore. Svaki nalog koji ne prepoznajete je ozbiljan znak. Ne brišite ga odmah, jer brisanje ne zatvara ulaz kroz koji je napravljen. Zašto, objasnili smo u tekstu nepoznat admin nalog u WordPress-u.
5. Pogledajte poslednje izmene na hostingu
Ako imate pristup File Manager-u, sortirajte fajlove po datumu izmene. Fajlovi u folderu wp-content/uploads sa ekstenzijom .php ne bi trebalo da postoje. Fajlovi izmenjeni u vreme kad niko od vas nije radio na sajtu takođe su trag.
Ova ručna provera ne zamenjuje dubinski pregled, ali vam za 15 minuta daje dovoljno informacija da odlučite da li je stvar hitna.
Posebna napomena za prodavnice
Ako vaš sajt prima porudžbine i plaćanja, provera sajta na malver ima dodatnu težinu. Kod prodavnica napadači najčešće ne ciljaju preusmeravanje, nego podatke kupaca. Skripta ubačena na stranicu za plaćanje može da kopira podatke koje kupac unosi, a da prodavnica i dalje radi potpuno normalno. Porudžbine stižu, plaćanja prolaze, a vi saznajete za problem tek kad kupci počnu da prijavljuju zloupotrebu kartica.
Udaljena provera može da pronađe deo ovakvih skripti, posebno one koje se učitavaju sa spoljnih domena. Ali deo njih se aktivira samo na stranici za plaćanje i samo kad je korpa puna, pa ih spoljni skener ne može uvek da „okine“. Zato za prodavnice važi strožije pravilo: redovna provera plus automatski nadzor fajlova, a ne samo povremena ručna provera.
Kada je vreme da se javite nama
Javite se ako vam se dogodi bilo šta od sledećeg:
- provera pokazuje rizik,
- provera je čista, ali hosting, Google ili klijenti prijavljuju problem,
- sajt je već čišćen, a problem se vratio,
- u pitanju je prodavnica ili sajt od kog zavisi prihod.
Dubinski pregled radimo preko namenskog alata koji se postavlja na sajt i vidi fajlove, bazu i naloge. Posle toga dobijate jasan izveštaj šta je pronađeno i šta je uklonjeno. Čišćenje počinje od 100 €, a hitni slučajevi idu prioritetno u toku radnog dana, od 150 €.
Zatražite pregled ili pozovite 065 402 5000.
Prvi korak traje manje od minuta
Ako sumnjate na malver, ne morate da nagađate. Unesite adresu sajta i za manje od minuta znaćete da li je nešto sumnjivo vidljivo spolja. Ako jeste, ili ako i dalje imate simptome, tu smo da odemo dublje.
Pokrenite besplatnu proveru sajta →
