Ogranicz dostęp do podejrzanej strony, zachowaj dane do analizy i ustal zakres włamania. Usunięcie jednego złośliwego pliku nie wystarczy, jeśli nadal działa podatna wtyczka lub przejęte konto.
Najpierw ogranicz szkodę i zachowaj ślady
Jeżeli strona przekierowuje klientów, rozsyła spam lub podaje podejrzane pliki, rozważ kontrolowany tryb serwisowy. Zapisz godzinę wykrycia, objaw oraz widoczne zmiany. Zabezpiecz kopię plików, bazy i logów do analizy w miejscu niedostępnym publicznie. Nie uruchamiaj plików, które wyglądają podejrzanie.
Powiadom operatora hostingu o konkretnych objawach. Może pomóc ograniczyć wysyłkę, zabezpieczyć logi lub odizolować konto w zakresie usługi. Samo szybkie kasowanie wszystkiego usuwa też informacje potrzebne do ustalenia, jak doszło do problemu.
Ustal zakres, zanim przywrócisz stronę
Sprawdź konta aplikacji, ostatnie instalacje, harmonogramy, konfigurację i sąsiednie projekty dostępne z tego samego konta. Porównaj rdzeń i rozszerzenia z czystymi paczkami z oficjalnych źródeł. Brak znaleziska w skanerze nie jest dowodem czystości. Malware może być w bazie, zadaniu cron, pliku konfiguracyjnym lub innym katalogu niż ten pierwszego alertu.
Nie ufaj wyłącznie dacie modyfikacji: może być zmieniona, a legalna aktualizacja tworzy wiele nowych plików. Szukaj powiązania z logami i ostatnimi zmianami. Jeśli nie masz kompetencji do oceny, zleć analizę zamiast eksperymentować na jedynej kopii produkcyjnej.
Odbudowa ze znanego czystego stanu
Najbezpieczniejsza ścieżka zależy od zakresu incydentu. Dla aplikacji może oznaczać odtworzenie z zaufanej kopii oraz ponowne wdrożenie kodu. Dla przejętego serwera z uprawnieniami administratora potrzebna bywa czysta reinstalacja środowiska. Plik usunięty przez skaner nie rozstrzyga, czy nie pozostał inny mechanizm dostępu.
Przed przywróceniem sprawdź, czy backup nie zawiera tej samej podatności lub infekcji. W sklepie zachowaj nowe zamówienia i uzgodnij sposób ich przeniesienia. Zainstaluj poprawione wersje i zamknij pierwotną drogę ataku.
Zmień dostęp we właściwym momencie
Z czystego urządzenia zmień hasła, tokeny i klucze, które mogły wyciec. Unieważnij sesje oraz stare integracje. Uporządkuj konta panelu, FTP lub SSH, bazy i aplikacji. Rotacja sekretów w nadal przejętym środowisku może ujawnić nowe dane napastnikowi, więc koordynuj ją z izolacją i odbudową.
Jeżeli w logach lub archiwum były sekrety API, samo ukrycie pliku nie wystarczy. Nowy token musi zastąpić stary, a stary powinien zostać unieważniony.
Warunki powrotu do działania
Sprawdź czysty kod, rozpoznane konta, usuniętą podatność, poprawną konfigurację i brak niezamierzonej wysyłki. Przetestuj funkcje i włącz monitoring. Dokumentuj, co było przyczyną oraz jakie działanie zapobiega powtórzeniu. Jeśli dotyczyły tego dane osobowe, oceń z odpowiednią osobą obowiązki organizacji wynikające z incydentu.
Dla strony w Castpol przygotuj domenę, czas i krótki opis objawów. Nie przesyłaj złośliwego pliku zwykłym załącznikiem bez uzgodnienia. Ochrona WordPressa to kolejny krok po opanowaniu incydentu.
Źródła i dokumentacja
Dokumentacja do dalszej weryfikacji ustawień i wymagań swojej wersji.