Cum devirusezi un Website, când ești afectat?

De curând am fost infectat pe un website care îmi realiza redirect-uri pe alte website-uri, rog atenție sporită la ele. Ele sunt:

1. mashina.com/mblog/2019/02/06/mortgage-credit-check/
2. irerendrech.tk/index/?4831537102803
3. emanderheur.tk/index/?4831537102803
4. see-edu.icu/learn-to-trade-forex-online-ninjatrader-forex-margin/

Cum se „virusează” un website?

Virusarea unui website înseamnă introducerea unui script malițios în anumite fișiere de pe serverul de găzduire.

Treaba asta se întâmplă din trei motive:

• Găzduire shared proastă, prin care un utilizator bagă virusul pe contul lui, după care se răspândește pe celelalte conturi pentru că nu există nicio barieră de securitate.
• Teme neactualizate, module neactualizate, porturi deschise și site-uri piratate. Pentru că proprietarul n-are chef să bage bani în website, iar atunci caută pe net variante gratuite (nulled) , premium, cu un kil de viruși cadou care se vor activa la momentul oportun
• Fișiere urcate prin FTP/E-mail de pe o stație de lucru virusată, pentru că pornoșagurile nu se pot privi cu un antivirus pornit.

Cum se manifestă un virus pe site?

Din ce-am întâlnit eu până acum, virusul pe un site execută câteva scripturi care pot schimba experiența utilizatorilor de pe site. Astfel:

• în varianta inofensivă, codul malițios poate face o redirecționare paralelă având scopul de a strânge clickuri pentru un maniac de trafic,
• în variantă inofensivă, codul malițios face o redirecționare paralelă având scopul de a strânge like-uri pentru un maniac de like-uri,
• în variantă inofensivă, îți redirecționează toți utilizatorii pe un site de pornoșaguri,
• în variantă „meh”, îți încarcă serverul și pică site-ul,
• în variantă ofensivă, pe motiv de phishing îți preia datele din formulare și le trimite unor „prieteni”,
• în variantă ofensivă, descarcă fișiere în calculatorul utilizatorului prin care colectează informații.

Cel mai rău este că site-ul riscă să fie introdus într-o listă neagră, iar browserele moderne să atenționeze utilizatorii asupra pericolului.

Chiar dacă faci devirusare, vei avea un pic de așteptat pentru a ieși din acea listă.

Devirusare – sfat preliminar

Dacă știi că ai furat un script de pe un site de gratuități piratate, atunci scapă de el.

Șterge toate fișierele, pentru că nu se bagă nici naiba să te scape de purici.

De cealaltă parte, asigură-te că hosting-ul nu e de mâna a doua și că nu te virusează constant prin intermediul altor utilizatori.

Soluția gratuită și cea mai evidentă

După ce te asiguri că nu ai fișiere piratate, te conectezi la contul de cPanel al site-ului.

Dacă ai noroc și o găzduire decentă, ai la dispoziție un antivirus care te va ajuta să scapi de problemele evidente.

Dacă nu ai unealta asta, atunci trebuie s-o faci manual: descarci conținutul site-ului prin FTP și scanează-l cu un antivirus.

Dacă și antivirusul pe care-l ai este piratat, atunci lasă-te de meserie.

Soluția cea mai simplă

Un client s-a prezentat la mine cu alt website virusat și a primit de la gazduire un email cum că ar avea anumite fișiere cu un cod malițios.

Dacă primești un astfel de mail și arunci o privire prin acele fișiere, vei observa câteva expresii care nu sunt la locul lor.

De regulă sunt niște iframe-uri care accesează niște js-uri de pe server extern.

Expresia e comună, deci o poți găsi și în fișierul de antent, și în cel de conținut, și în cel de subsol.

Devirusare web site

„Hacker-ul” are grijă să bage codul în toate fișierele cu o anumită terminație pentru a fi sigur că scriptul îi va fi executat.

Este suficient să identifici codul, după care să faci o căutare în toate fișierele folosind notepad++.

Alteori, poate fi o expresie codată în baza64 și executată cu un eval în php.

De regulă sunt rânduri cu peste 100 de caractere, iar o parte dintre acestea se repetă.

Găsiți secvența care se repeta, o copiați și faceți o căutare amplă în toate fișierele site-ului folosind notepad++. 

***Notă, care am scăpat și eu.

La primul atac a fost să îmi rescriu în prima fază platforma WordPress.

Al-2-lea pas a fost să rescriu fișierele temei (licențiate).

Al-3-lea pas a fost să actualizez toate modulele platformei.

Al-4-lea pas care am avut probema cea mai mare a fost că am dat back-up la website din cauză că mi se afectase peste 700 de fișiere.

Al-5-lea pas la care era problema mea de infecție, a website-ului a fost să închid toate port-urile care erau deschise a servărului.

Soluția mai complicată

Este să vă luați inima-n dinți, să mergeți la un programator și să vă spovediți.

Poate va râde un pic, poate vă va certa, dar cu siguranță va ști cum să vă sfătuiască să nu mai aveți probleme pe viitor.

Asemenea unui popă, îți va tăia chitanță la sfârșit. :))

Și nu, băiatul lu’ tanti Florica de la patru nu-i întotdeauna cel mai bun.

Chiar dacă e gratis și face CD-uri cu manele!!!