Ta witryna mogła paść ofiarą ataku hakerów

Komunikat „Ta witryna mogła paść ofiarą ataku hakerów” to oznaczenie, które Google wyświetla przy wyniku wyszukiwania, gdy uważa, że haker mógł zmienić niektóre strony w witrynie albo dodać nowe strony ze spamem ^[1]. W tej samej pomocy Google używa też wariantu „Ta strona mogła paść ofiarą ataku hakerów” ^[1]. Właściciel witryny znajduje szczegóły w raporcie „Problemy dotyczące bezpieczeństwa” w Search Console ^[2]. Ostrzeżenie znika dopiero wtedy, gdy właściciel usunie infekcję i Google potwierdzi naprawę ^[1].

Jak działa

Google zapisuje wykryte problemy w raporcie „Problemy dotyczące bezpieczeństwa”, jeśli stwierdzi, że witrynę zaatakowali hakerzy albo że działa w sposób szkodliwy dla użytkowników bądź ich komputerów ^[2]. Strony z takim problemem mogą pojawiać się w wynikach wyszukiwania z etykietą ostrzegawczą, a przy wejściu przeglądarka może pokazać pełnoekranowe ostrzeżenie ^[2]. Ostrzeżenia wyświetla mechanizm Safe Browsing (w polskiej pomocy „Bezpieczne przeglądanie Google”) zależnie od kontekstu przeglądania, dlatego właściciel nie zawsze może je odtworzyć u siebie ^[2].

Szczegóły problemu w raporcie obejmują dzień pierwszego wykrycia, krótki opis i link do dalszych informacji ^[2]. Raport pokazuje przykładowe adresy URL, ale lista nie musi być pełna; brak przykładów nie oznacza, że problem nie dotyczy żadnej strony ^[2].

Całą drogę od wykrycia do zdjęcia ostrzeżenia pokazuje schemat poniżej.

RYS. 1Od ostrzeżenia do jego zdjęcia

Rodzaje

Raport dzieli problemy na trzy kategorie: treści zmodyfikowane przez hakerów, złośliwe i niechciane oprogramowanie oraz inżynierię społeczną ^[2]. Komunikat o ataku hakerów dotyczy pierwszej z nich. Google opisuje ją jako treści umieszczone w witrynie bez zgody właściciela przez wykorzystanie luk w zabezpieczeniach ^[2].

Wstrzyknięta zawartość z terminami farmaceutycznymi to w praktyce pharma hack, a masowe strony ze spamem to SEO spam. Kod wstrzyknięty według Google może trafić wprost do plików HTML, na przykład jako przekierowanie JavaScript, albo do plików generujących treść, na przykład PHP ^[2]. Złośliwe oprogramowanie (malware) i socjotechnika mają w raporcie osobne kategorie i inne ostrzeżenia ^[2].

W WordPressie

Dokumentacja WordPressa wymienia wpis witryny na czarną listę Google lub Bing jako jeden z wyraźnych wskaźników kompromitacji (IoC) ^[4]. Obok niego podaje między innymi wyłączenie strony przez hosting, oznaczenie jej jako źródła złośliwego oprogramowania i pojawienie się nowych, nieautoryzowanych użytkowników ^[4]. Zaleca też rejestrację witryny w Google Search Console i konsolach innych wyszukiwarek ^[4], co w praktyce oznacza, że o problemie dowiaduje się właściciel, a nie tylko odwiedzający.

W WordPressie wstrzyknięty kod najczęściej siedzi w plikach motywu lub wtyczki, w pliku .htaccess albo w bazie danych. Dokumentacja wskazuje .htaccess jako jeden z plików najczęściej zmienianych przez atakujących oraz wymienia pliki index.php, header.php i footer.php, które wpływają na wszystkie żądania ^[4]. Katalogi wp-admin i wp-includes można bezpiecznie zastąpić świeżą kopią tej samej wersji WordPressa ^[4]. Typowe objawy dla odwiedzających to złośliwe przekierowania z wyników wyszukiwania i podmiana treści strony (defacement).

Zagrożenia i skutki

Google zaleca użytkownikom, żeby nie odwiedzali witryny, dopóki komunikat nie zniknie ^[1]. Według Google otwarcie takiej strony może skończyć się przekierowaniem do spamu lub złośliwego oprogramowania ^[1]. Dla właściciela oznacza to utratę ruchu i zaufania. Ostrzeżenie często jest też pierwszym sygnałem, że strona została przejęta; web.dev przypomina, że włamania bywają niewidoczne dla użytkowników, a mimo to szkodzą każdemu, kto ogląda stronę ^[5].

CERT Polska wymienia oznaczenia Google w wynikach wyszukiwania i przed wejściem na stronę jako objaw przejęcia ^[3]. Samo ostrzeżenie w Google to jednak tylko skutek. Przyczyna, najczęściej niezałatana podatność we wtyczce albo przejęte hasło, zostaje, dopóki nie zostanie usunięta.

Jak postępować

• Zabezpieczyć dowody i ograniczyć szkody. CERT Polska zaleca odcięcie serwera HTTP od sieci, zabezpieczenie logów i wstępną analizę plików oraz bazy danych ^[3]. Zespół CERT zaleca też zgłoszenie incydentu do właściwego zespołu CSIRT i zmianę wszystkich haseł ^[3].
• Oczyścić witrynę według procedury czyszczenia przejętej strony albo odtworzyć ją z kopii zapasowej (backup) sprzed incydentu ^[3].
• Rozwiązać problem w całej witrynie i usunąć wszystkie zgłoszone problemy; naprawa tylko części stron nie wystarczy ^[2].
• Poprosić o sprawdzenie w raporcie i opisać w prośbie problem, podjęte działania oraz ich wyniki ^[2].
• Nie wysyłać prośby ponownie przed ostateczną decyzją; sprawdzanie zwykle trwa kilka dni lub tygodni ^[2].
• Po oczyszczeniu zaktualizować WordPress i ponownie zmienić hasła ^[4].

Web.dev dzieli naprawę na cztery etapy: kwarantannę witryny, ustalenie podatności, oczyszczenie i utrzymanie oraz prośbę o sprawdzenie ^[5].

Pokrewne raporty

Google odróżnia raport „Problemy dotyczące bezpieczeństwa” od raportu „Ręczne działania”. Ręczne działania dotyczą zwykle prób manipulacji indeksem i powodują obniżenie pozycji albo usunięcie stron z wyników, bez wizualnej wskazówki dla użytkownika ^[2]. Problemy bezpieczeństwa dotyczą włamań i działań szkodliwych dla użytkowników i skutkują etykietą lub pełnoekranowym ostrzeżeniem ^[2]. Osoba, która kupiła witrynę z istniejącymi problemami, powinna je naprawić i wysłać prośbę o ponowne rozpatrzenie z informacją o zmianie właściciela ^[2]. Dokumentacja WordPressa przypomina, że wpis na czarną listę (blacklisting) prowadzą także Bing, Yahoo i programy antywirusowe, a problem odwiedzającym może sprawiać każda z tych list ^[4].