Hosting zablokoval web kvůli malwaru: co teď?

Hosting zablokoval váš web kvůli malwaru? Blokace je ochranné opatření — poskytovatel jí brání tomu, aby se z vašeho webu šířila infekce, rozesílal spam nebo běžel phishing na jeho IP adresách. Není to trest a ve většině případů ani není trvalá. Je to ale jasný signál, že na webu běží něco, co tam nemá být, a že smazání jednoho podezřelého souboru problém nevyřeší.

Tento článek popisuje, co si od hostingu vyžádat, co udělat v první hodině, čemu se naopak vyhnout a jak požádat o odblokování tak, aby žádost prošla napoprvé.

Co blokace znamená — a co neznamená

Poskytovatelé používají několik různých opatření a je užitečné vědět, které z nich se vás týká, protože se liší rozsahem i tím, co budete potřebovat k obnovení provozu:

• Zablokování webu (suspend). Web je nedostupný, obvykle se místo něj zobrazí stránka poskytovatele. Soubory a databáze zůstávají na místě a máte k nim přístup přes FTP/SFTP nebo souborový manažer.
• Karanténa souborů. Web běží dál, ale automatický skener přesunul konkrétní soubory mimo webroot. Typicky se projeví rozbitou funkcí nebo chybou 500 — a je to nejzrádnější varianta, protože vypadá jako běžná porucha.
• Pozastavení celého účtu. Nedostupné jsou všechny weby a často i e-mail. Bývá to reakce na rozesílání spamu z vašeho prostoru.
• Blokace odchozí pošty. Web funguje, ale neodcházejí objednávky, registrace ani kontaktní formuláře. Časté u kompromitovaných webů zneužitých k rozesílání pošty.

Co blokace neznamená: že hosting ví, jak se útočník dovnitř dostal. Automatický skener hlásí nalezené soubory podle signatur — neurčuje vstupní vektor, nekontroluje databázi a nedokáže říct, zda existuje ještě další, dosud nenalezená kopie. Tuhle práci za vás nikdo neudělá.

Co si od hostingu vyžádat hned v prvním e-mailu

Většina lidí odepíše „prosím o odblokování“. Vyžádejte si místo toho podklady — bez nich pracujete naslepo a druhá blokace přijde za pár dní:

1. Konkrétní důvod blokace. Malware v souborech, odchozí spam, phishingová stránka, útok na jiný server, nebo hlášení třetí strany?
2. Úplný výpis nálezů — cesty k souborům, názvy signatur a čas detekce. Toto je nejdůležitější položka: dává vám první časové razítko incidentu.
3. Kam byly soubory přesunuty, pokud byly v karanténě, a jak dlouho tam zůstanou. Karanténní složky se často automaticky mažou — a jsou to vaše důkazy.
4. Přístupové a chybové logy za období od několika dní před detekcí. Bez nich se vstupní vektor hledá výrazně hůř.
5. Zda existují zálohy poskytovatele, k jakým datům a jak dlouho budou dostupné.
6. Postup a podmínky odblokování — co přesně chtějí vidět, než web pustí zpět.
7. Zda byla blokace nahlášena dál (Google Safe Browsing, blacklisty odchozí pošty). Pokud ano, čeká vás ještě druhé kolo u těchto služeb.

Postup se u jednotlivých poskytovatelů liší — Wedos, Active24, Forpsi, Savana, Webglobe i Websupport řeší incidenty vlastním způsobem, s vlastními skenery a vlastními pravidly pro znovuspuštění. Právě proto se vyplatí ptát konkrétně místo obecné žádosti o odblokování: seznam výše funguje u kteréhokoli z nich.

První hodina: co udělat a čemu se vyhnout

1. Zachovejte kopii, než začnete cokoli mazat. Stáhněte si webroot, export databáze a dostupné logy. I infikovaná kopie je cenná — často je to jediný zdroj, ze kterého lze zpětně určit, kudy se útočník dostal dovnitř.
2. Zapište si časovou osu. Kdy přišlo hlášení, kdy web naposledy fungoval, kdy se naposledy něco aktualizovalo nebo instalovalo. Tahle tři data vysvětlí překvapivě mnoho.
3. Omezte přístupy. Změňte hesla k CMS, hostingu, FTP/SFTP, databázi a e-mailům a zablokujte neznámé administrátorské účty. Hesla měňte z čistého zařízení — pokud máte infikovaný počítač, nová hesla uniknou stejně jako ta stará.
4. Nemažte naslepo. Útočníci běžně používají více vstupních bodů a soubory, které vypadají legitimně. Rychlé mazání zničí důkazy, ale nezavře díru — a web se za pár dní zablokuje znovu.
5. Neobnovujte zálohu bez kontroly. Pokud vznikla po napadení, obnovíte i infekci. Pokud vznikla dávno před ním, ztratíte objednávky a obsah. Zálohu je potřeba nejdřív prověřit.
6. Nespoléhejte na to, že „skener to smazal“. Odstranění nalezených souborů je začátek, ne konec.

Sdílený hosting, VPS a managed hosting se řeší jinak

Na sdíleném hostingu je blokace zpravidla rychlá a automatická, protože jeden kompromitovaný web ohrožuje reputaci celého serveru. Máte omezené možnosti forenzní analýzy — nedostanete se k systémovým logům a jste odkázaní na to, co poskytovatel poskytne.

Na VPS obvykle nikdo nic neblokuje, dokud se problém neprojeví navenek: odchozí spam, útok na cizí server nebo stížnost. Zato máte plný přístup k logům a systému, takže je analýza podstatně důkladnější — ale odpovědnost za hardening celého serveru je vaše.

U managed hostingu bývá součástí služby i pomoc s vyčištěním. Stojí za to zjistit, co přesně je zahrnuté: často jde o smazání nalezených souborů, nikoli o dohledání příčiny.

Jak probíhá bezpečná obnova

Začínáme inventurou: verze CMS, šablona, rozšíření, administrátoři, cron úlohy, přesměrování a změny v konfiguraci. Následuje porovnání souborů proti důvěryhodným zdrojům, hledání backdoorů a obfuskovaného kódu, kontrola databáze, uživatelských účtů, vložených iframe a neobvyklých URL. U WordPressu kontrolujeme navíc mu-plugins, wp-cron a adresář uploads; u Joomla komponenty, pluginy, šablony a soubory mimo standardní strukturu.

Vlastní obnova pak nespočívá v mazání jednotlivých nálezů, ale v čisté rekonstrukci: jádro a rozšíření se nasadí z ověřených balíčků, přenáší se jen prověřený obsah a data, aktualizují se zranitelné komponenty, rotují přístupy a nastaví se hardening. Teprve potom má smysl web pouštět zpět do provozu.

Výstupem není jen seznam smazaných souborů, ale klasifikace nálezů podle závažnosti a jistoty, popis pravděpodobného vstupního vektoru a doporučení pro další provoz. Pokud rozsah nelze spolehlivě určit, řekneme to otevřeně — u části incidentů to je poctivější odpověď než falešné ujištění.

Jak požádat o odblokování, aby prošlo napoprvé

Poskytovatelé odmítají žádosti, které nedokládají, že se problém nemůže hned opakovat. Do žádosti proto patří:

• co konkrétně bylo nalezeno a jak to bylo odstraněno,
• jaký byl pravděpodobný vstupní vektor a čím je uzavřený (aktualizace, výměna rozšíření, oprava oprávnění),
• že proběhla rotace všech přístupů,
• jaká preventivní opatření jsou nově nasazená,
• čím byla obnova ověřena.

Pokud byl web nahlášen i do Google Safe Browsing, řeší se to zvlášť přes žádost o kontrolu v Search Console — a tu je vhodné odeslat až po dokončení hardeningu, ne dřív. Podrobněji to rozebíráme v článku Google hlásí nebezpečný web.

Proč se blokace vrací

Opakovaná blokace během několika dnů nebo týdnů má skoro vždy jednu ze čtyř příčin: zůstal nenalezený backdoor, nebyl uzavřen vstupní vektor, obnovila se infikovaná záloha, nebo se nezměnily kompromitované přístupy. Ve všech čtyřech případech to znamená, že první zásah řešil příznak, ne příčinu — a je to nejdražší způsob, jak incident zvládnout.

Nejčastější otázky

Jak dlouho trvá odblokování webu?

Samotné odblokování bývá otázkou hodin od schválení žádosti. Podstatně delší je práce před ní: rozsah incidentu a stav záloh určují, jestli jde o hodiny, nebo o několik dní.

Stačí obnovit poslední zálohu?

Ne vždy. Pokud byla záloha vytvořena po napadení, obnovíte i infekci. Zálohu je nutné nejdříve prověřit — a i čistá záloha jen vrátí web do stavu, ve kterém byl zranitelný.

Přijdu o obsah nebo objednávky?

Cílem je zachovat obsah, design i provozní data. Před zásahem se vytváří pracovní kopie a změny probíhají kontrolovaně. U silně poškozeného webu ale nelze bez diagnostiky slíbit nulovou ztrátu; případné riziko popíšeme předem.

Může web během čištění běžet?

Záleží na typu blokace a na riziku. U e-shopu se obvykle upřednostní bezpečné zachování provozu a dat; u aktivního webshellu je naopak správné nechat web nedostupný, dokud není webroot důvěryhodný.

Vyřeší to bezpečnostní plugin?

Plugin pomůže s detekcí a s hardeningem po obnově. Neurčí ale rozsah kompromitace ani vstupní vektor a u aktivního backdooru běží ve stejném prostředí, které útočník ovládá — proto se na jeho výsledek nelze spoléhat jako na potvrzení, že je web čistý.

Co když hosting zálohy nemá?

Pak se pracuje s tím, co je k dispozici: aktuální (byť infikovaný) stav webu, exporty databáze a logy. Čistá rekonstrukce je v takovém případě obvykle jediná bezpečná cesta.

Objednat bezpečnostní diagnostiku · Zjistit více o odvirování webu · Pravidelná správa webu