Hacknutie: ako ho rozpoznať, napraviť a predchádzať mu

Modul 7: Zabezpečenie · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete rozpoznať hacknutie, napraviť ho v správnom poradí a zabrániť tomu, aby sa zopakovalo.

Kľúčové pojmy: signály hacknutia, zdokumentovanie, izolácia, výmena všetkých hesiel a saltov, nájdenie vstupného bodu, logy, čistá záloha, čistá reinštalácia, kontrolné súčty, neznámi administrátori, PHP v uploads, mu-plugins, Search Console, nahlásenie úniku údajov

Čo je hacknutie

Stránka je hacknutá, ak niekto bez povolenia získal kontrolu nad (časťou) vašej stránky: môže meniť súbory alebo databázu, prípadne spúšťať kód. Často si útočník ponechá prístup cez zadné vrátka (backdoor): skrytý súbor alebo kúsok kódu, cez ktorý sa môže vrátiť neskôr, aj keď zatvoríte pôvodnú medzeru.

Práve to je jadrom tejto lekcie: odstránenie len viditeľných škôd nestačí. Pokiaľ zadné vrátka existujú, alebo pokiaľ je otvorená medzera, cez ktorú sa útočník dostal dnu, stane sa to znova. Často v priebehu niekoľkých dní.

Ako to rozpoznať

Signály (niektoré uvidíte, niektoré musíte hľadať):

• Google pri vašej stránke hlási "Táto stránka môže byť hacknutá", prípadne Search Console hlási bezpečnostný problém.
• Vo výsledkoch vyhľadávania (site:example.com) sa objavujú stránky, ktoré nepoznáte, často v inom jazyku alebo o liekoch, hazarde či falošných obchodoch.
• Návštevníci sú presmerovaní, často len vtedy, keď prichádzajú cez Google alebo z telefónu. Vy to nevidíte, pretože ste prihlásení alebo prichádzate cez záložku. Otestujte to v súkromnom okne cez výsledok vyhľadávania.
• Pri Používatelia sa objaví administrátor, ktorého nepoznáte.
• V wp-content/uploads sa nachádzajú PHP súbory, alebo sú v hlavnom priečinku či v wp-content/mu-plugins súbory s čudnými názvami.
• Váš hosting alebo skener škodlivého softvéru hlási infikované súbory; vaša pošta je odmietaná alebo váš balík odosiela spam.
• Stránka je zrazu pomalá alebo sa vám napĺňa úložný priestor.

Postup krok za krokom

1. Zachovajte pokoj a zdokumentujte situáciu

Nezahadzujte hneď všetko. Zapíšte si, čo vidíte a odkedy, urobte si snímky obrazovky a vytvorte kópiu aktuálneho stavu (súborov a databázy, prípadne doplnkovú zálohu cez svojho poskytovateľa hostingu). Túto kópiu budete potrebovať na nájdenie vstupného bodu a ako dôkaz. Neukladajte ju do webového priečinka.

2. Zastavte škody pre návštevníkov

Dočasne vypnite stránku alebo ju prepnite na stránku s oznámením o údržbe, najmä ak sú návštevníci presmerovávaní na škodlivý softvér alebo phishing. V DirectAdmine môžete doménu pozastaviť; inde môže pomôcť heslo na celú stránku alebo dočasný súbor index.html s oznámením.

3. Vymeňte všetky heslá a kľúče

Vychádzajte z predpokladu, že útočník pozná každé heslo, ktoré bolo možné na stránke alebo cez ňu nájsť. Vymeňte, najlepšie z iného (čistého) počítača:

• heslo k vášmu hostingovému rozhraniu a všetkým FTP a SFTP účtom (odstráňte účty, ktoré nepoužívate);
• heslo databázového používateľa a upravte ho v súbore wp-config.php;
• heslá všetkých administrátorov WordPressu a odstráňte účty, ktoré nepoznáte;
• kľúče a salty v wp-config.php (lekcia 1.3). Tým zaniknú všetky prihlasovacie cookies, vrátane tých útočníkových;
• aplikačné heslá (lekcia 3.3) a API kľúče prepojení;
• heslá k e-mailu, ak spam odchádzal cez niektorú schránku.

Následne zapnite dvojfaktorové overenie (2FA) na všetkom (lekcia 7.3).

4. Nájdite vstupný bod

Bez znalosti vstupného bodu si nemôžete byť istí, že je uzavretý. Najčastejšie príčiny (lekcia 7.1) a kde ich hľadať:

• Zastaraný plugin alebo téma: ktoré súčasti neboli aktualizované? Vyhľadajte ich názvy v databáze zraniteľností (lekcia 5.3).
• Uniknuté heslo: pozrite si históriu prihlásení vo vašom hostingovom rozhraní a cez FTP.
• Logy webového servera: v období okolo momentu, keď sa objavili prvé podozrivé súbory, hľadajte POST požiadavky na neznáme súbory alebo na súbory pluginov, často z rovnakej IP adresy.
• Súbory podľa dátumu: zoraďte vo Web FTP alebo cez SFTP podľa dátumu úpravy. Súbory, ktoré boli zmenené súčasne, najmä mimo aktualizácie, si zaslúžia pozornosť.

5. Vyčistenie

Dve cesty, často kombinácia oboch:

A. Obnoviť čistú zálohu spred hacknutia (lekcia 8.2). Vyberte zálohu, ktorá je určite spred prvých signálov, keďže útočníci niekedy čakajú týždne. Obnovte kompletne, aby zmizli aj pridané súbory. Následne okamžite aktualizujte všetko (inak sa medzera znova otvorí). Nevýhoda: všetko, čo vzniklo po zálohe (články, objednávky), sa stratí.

B. Čistá rekonštrukcia s existujúcim obsahom:

1. Nahraďte samotný WordPress čerstvou kópiou z wordpress.org (wp-admin, wp-includes a jednotlivé súbory; nie wp-content a wp-config.php). Pomocou WP-CLI si môžete najprv pozrieť, čo sa zmenilo:

wp core verify-checksums
wp plugin verify-checksums --all

Tieto príkazy porovnajú vaše súbory s oficiálnymi verziami a nahlásia každý zmenený alebo pridaný súbor (druhý príkaz len pre pluginy z adresára pluginov na wordpress.org).

2. Odstráňte všetky pluginy a témy a nainštalujte ich znova zo zdroja, v najnovšej verzii. Čo nepotrebujete, sa nevráti.
3. Skontrolujte wp-content/uploads na PHP súbory a iné súbory, ktoré nie sú médiá, a wp-content/mu-plugins.
4. Skontrolujte .htaccess na čudné presmerovacie pravidlá a wp-config.php na riadky, ktoré nepoznáte.
5. Skontrolujte databázu: neznámych administrátorov, hodnoty siteurl, home a active_plugins v wp_options, a vyhľadajte v článkoch vložené skripty (<script s čudnými adresami).
6. Pozrite si naplánované úlohy: cronjoby vo vašom hostingovom rozhraní a WP-Cron (pomocou pluginu alebo príkazu wp cron event list).

Skener škodlivého softvéru (od vášho poskytovateľa hostingu alebo plugin) pomáha pri hľadaní, no nespoliehajte sa naň slepo: čo nenájde, tam ešte môže byť.

6. Uzavrite a skontrolujte

• Aktualizujte všetko, zabezpečte stránku (lekcia 7.4) a znova ju zapnite.
• Je vaša stránka u Googlu označená ako nebezpečná? Požiadajte v nástroji Search Console v časti Bezpečnostné problémy o nové preskúmanie, no až keď je všetko čisté.
• Sledujte nasledujúce týždne: nové súbory, nových administrátorov, hlásenia vášho skenera. Ak sa problém vráti, vstupný bod alebo zadné vrátka ešte neboli nájdené.

Osobné údaje: nahlásenie úniku údajov

Ak sa útočníci dostali k osobným údajom (údaje zákazníkov e-shopu, odoslané formuláre, zoznamy členov, používatelia vašej stránky), ide o únik osobných údajov v zmysle GDPR. V takom prípade ho musíte nahlásiť do 72 hodín od zistenia dozornému úradu (na Slovensku: Úrad na ochranu osobných údajov SR), pokiaľ nie je nepravdepodobné, že predstavuje riziko pre dotknuté osoby (článok 33 GDPR). Ak je riziko vysoké, musíte o tom informovať aj dotknuté osoby (článok 34). V každom prípade si zdokumentujte, čo sa stalo a čo ste urobili, aj keď únik nenahlasujete. Ak si nie ste istí, pozrite si informácie na stránke úradu na ochranu osobných údajov vo vašej krajine (lekcia 9.3).

Požiadanie o pomoc

Vyčistenie po hacknutí si vyžaduje čas a skúsenosti. Ak si nie ste istí, či ste odstránili všetko, požiadajte o pomoc: svojho tvorcu stránky, špecializovanú firmu alebo svojho poskytovateľa hostingu (niektorí poskytovatelia, vrátane WebOké, to ponúkajú, zvyčajne za poplatok). Poskytnite im kópiu z kroku 1, informácie o tom, čo ste videli a kedy, a čo ste už urobili.

Zhrnutie

• Hacknutie často zanechá zadné vrátka; odstránenie len viditeľných škôd nestačí.
• Poradie: zdokumentovanie, ochrana návštevníkov, výmena všetkých hesiel a saltov, nájdenie vstupného bodu, vyčistenie, uzavretie a kontrola.
• Vyčistenie môže prebehnúť pomocou čistej zálohy spred dostatočného času pred hacknutím, alebo čerstvou inštaláciou WordPressu, pluginov a tém a kontrolou uploads, mu-plugins, .htaccess a databázy.
• wp core verify-checksums ukáže, ktoré súbory WordPressu boli zmenené.
• Ak išlo o osobné údaje, nahláste únik do 72 hodín úradu na ochranu osobných údajov, pokiaľ nie je riziko nepravdepodobné.

Kvíz

Úloha

Úloha D7.5: Váš núdzový plán pre prípad hacknutia. Vyplňte núdzový plán pre vašu vlastnú stránku, aby ste ho nemuseli vymýšľať, keď príde čas: kde sú vaše zálohy a ako ďaleko do minulosti siahajú, kto má aké heslá a ako ich všetky vymeníte (zoznam), kde nájdete logy vášho hostingu, komu zavoláte o pomoc, a aké osobné údaje sa na vašej stránke nachádzajú (pre posúdenie, či musíte nahlásiť únik údajov). Následne spravte cvičenie: ktorých päť krokov urobíte v prvej hodine po tom, čo dostanete hlásenie "Táto stránka môže byť hacknutá", v akom poradí a prečo práve v tomto poradí?

Ďalšie čítanie

Tieto články popisujú postup v rozhraniach WebOké; v iných rozhraniach fungujú podobne.

• Návod na DirectAdmin 18.2: Moja webová stránka je napadnutá: postup krok za krokom
• Pomoc! Moja stránka bola napadnutá. Ako to vyriešiť a ako tomu predísť?
• Návod na DirectAdmin 15.11: Imunify360: skenovanie webovej stránky na výskyt malvéru
• Návod na DirectAdmin 17.2: Súhrnné štatistiky a logy: záznam chýb a záznam prístupov
• Návod na DirectAdmin 3.4: História prihlásení: kto a kedy sa prihlásil?
• Úniky osobných údajov (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• FAQ: moja stránka bola hacknutá (wordpress.org, v angličtine): https://wordpress.org/documentation/article/faq-my-site-was-hacked/