Kāpēc WordPress vīruss atgriežas pēc dzēšanas un kā to notīrīt

Pie mums regulāri nonāk mājaslapas, kuru īpašnieki jau nedēļu cīnās paši. Stāsts gandrīz vienmēr ir viens: inficētais fails atrasts un izdzēsts, pēc pāris minūtēm tas atkal ir vietā. Pa vidu mediju bibliotēkā parādās ZIP faili, ko neviens nav augšupielādējis.

Es izdzēsu failu, pārlādēju lapu, un tas bija atpakaļ. Izdzēsu vēlreiz. Tas pats.

Ar dzēšanu šeit nepietiek, un tas nav nejauši. Ļaunatūra ir uzbūvēta tā, lai tieši šo darbību pārdzīvotu.

Kā ļaunatūra nokļūst mājaslapā

Praksē redzam divus ceļus: svešās rokās nonākušus piekļuves datus un ievainojamību spraudnī, tēmā vai pašā WordPress.

Piekļuves dati ir WordPress administratora parole, hostinga konta vai cPanel parole, FTP un SSH pieeja. Noplūst tie caur inficētu darba datoru, caur paroli, kas lietota vēl kādā vietnē un nozagta tur, vai no parolēm, kas glabājas pārlūkā vai kādā failā.

Otrs ceļš ir ievainojamības. Kļūda populārā spraudnī skar desmitiem tūkstošu vietņu uzreiz, un masveida skenēšana sākas dažu stundu vai dienu laikā pēc tās publiskošanas. Šis logs turklāt sarūk, jo ievainojamību meklēšanā tagad izmanto arī valodas modeļus. Laiks no labojuma iznākšanas līdz pirmajiem uzbrukumiem mēdz būt pavisam īss.

Tālākais abos gadījumos ir vienāds. Viena hostinga konta mājaslapām serverī ir kopīgas piekļuves tiesības, tāpēc ļaunatūra ierakstās arī blakus esošo mājaslapu failos un datubāzēs, un parole tam vairs nav vajadzīga. Inficēta gandrīz vienmēr ir nevis viena mājaslapa, bet viss konts.

Kāpēc dzēšana nelīdz

Pirms desmit gadiem inficēta mājaslapa nozīmēja dažus ļaunprātīgus failus. Antivīruss tos atrada, izdzēsa, un ar to pietika. Šis priekšstats ir noturīgs, tāpēc pirmā doma joprojām ir atrast failu un izdzēst.

Bet ļaunatūra, ko var apturēt ar vienu izdzēstu failu, uzbrucējam ir maz vērta. Tāpēc tā tagad tiek būvēta tā, lai pārdzīvotu tieši to, ko lietotājs visdrīzāk izdarīs.

Tā vienlaikus atrodas vairākās vietās, un katra daļa spēj atjaunot pārējās. Tipisks komplekts:

• Redzamais spraudnis Tas, ko atrod antivīruss. Izskatās pēc parasta spraudņa ar ticamu nosaukumu.
• Slēptais fails wp-content mapē Nosaukums no nejaušiem simboliem un sākas ar punktu, tāpēc failu pārvaldnieks to pēc noklusējuma nerāda.
• Kopija datubāzē Vairāki simti kilobaitu koda, saglabāti kā parasts uzstādījums. Failu dzēšana to neskar.
• Ieplānots uzdevums Regulāri, dažkārt pat reizi minūtē, pārbauda, vai viss ir vietā, un trūkstošo atjauno no datubāzes kopijas.
• Rezerves arhīvs ZIP fails ar pilnu kodu, parasti vairākās vietās uzreiz, tostarp attēlu mapē.
• Papildinājums tēmas failā Pāris rindas tēmas functions.php failā, kas ielādē pārējo.
• Slēptais administrators Konts, kuru ļaunatūra izfiltrē no WordPress lietotāju saraksta, tāpēc tur tas nav redzams.
• Kopija servera atmiņā Daži paveidi rezerves kopiju glabā arī servera operatīvajā atmiņā, ne failos. Failu dzēšana to neskar; tā pazūd tikai tad, kad tiek apturēti procesi.

Neviena daļa nav neaizstājama. Kamēr palikusi kaut viena, pārējās atjaunojas.

Fails atgriežas ātrāk, nekā to var izdzēst

Lapā ar apmeklētājiem PHP kods darbojas nepārtraukti, un katrs apmeklējums ļaunatūrai ir izdevība pārbaudīt, vai viss ir vietā. Izdzēsts fails atgriežas dažu sekunžu laikā, bieži ātrāk, nekā paspējat pārlādēt failu pārvaldnieku.

Daļēja dzēšana rezultātu nedod

Daži paveidi seko līdzi arī faila izmēram. Ja fails kļūst mazāks vai pazūd, tas ir signāls atjaunoties. Daļēja dzēšana tāpēc neko nemaina un reizēm pilnu atjaunošanos tikai paātrina.

Datubāze paliek neskarta

Var izdzēst visus failus un uzstādīt WordPress no nulles, bet, ja datubāzē paliek kopija un ieplānotais uzdevums, dažu stundu laikā viss ir atpakaļ. Šī iemesla dēļ nepalīdz arī pilna pārinstalēšana.

Kāpēc ZIP faili parādās mediju bibliotēkā

Daži paveidi uzstāda Service Worker, nelielu programmu, kas darbojas nevis serverī, bet administratora pārlūkā. Pati par sevi tā ir parasta tīmekļa tehnoloģija; pateicoties tai, piemēram, Gmail strādā arī bez interneta savienojuma.

Būtiski, ka šī programma pārdzīvo gan cilnes aizvēršanu, gan pārlūka aizvēršanu, gan datora restartu. Praksē tas izskatās šādi: mājaslapa inficē administratora pārlūku, serveris tiek pilnībā iztīrīts, no rīta administrators atver wp-admin pārbaudīt, vai viss kārtībā, un programma ar viņa paša pieteikšanās sesiju uzstāda spraudni atpakaļ. No malas izskatās, ka tīrīšana nav nostrādājusi, lai gan ļaunatūra atgriezās no administratora datora.

Kāpēc reāllaika skenēšana to var nepamanīt

Ja serverī darbojas reāllaika ļaunatūras skenēšana, loģisks jautājums ir, kā ļaunatūra tika cauri. Skenēšana notver lielāko daļu gadījumu; simtprocentīgu aizsardzību nedod neviena sistēma.

Ja uzbrucējs ienāk ar īstiem piekļuves datiem, formāli nekāda uzbrukuma nav. No servera puses tā ir parasta administratora pieteikšanās un parasta faila augšupielāde, un nav notikuma, uz ko reaģēt. Šādus gadījumus pamana vēlāk nekā citus.

Otrs iemesls: šie paveidi ir rakstīti tā, lai izvairītos no atpazīšanas. Kods saliekas kopā tikai izpildes brīdī, faili ir slēpti un maskēti, daļa ļaunatūras glabājas datubāzē un servera atmiņā, nevis failos. Jaunu paveidu skeneri kādu laiku vienkārši nepazīst.

Skenēšana tāpēc ir viens aizsardzības slānis no vairākiem, līdzās unikālām parolēm, regulāriem atjauninājumiem, rezerves kopijām un iespējai vajadzības gadījumā notīrīt visu līdz galam.

Ļaunatūru izstrādā un uztur kā produktu

Aiz šādas inficēšanās vairumā gadījumu nesēž cilvēks, kas manuāli rakņājas pa serveri. Tā ir programmatūra, ko izstrādā un uztur kā jebkuru citu produktu: ar versiju numuriem, funkciju plānu un iespēju atkāpties uz iepriekšējo versiju, ja jaunā nestrādā. Šomēnes publicētās Monarx un MD Pabel analīzes, kā arī Seven Labs gadījuma izpēte SC 4.0.3 paveidu apraksta kā savstarpēji saistītu, sevi atjaunojošu daļu tīklu: izdzēšot vienu daļu, pārējās to uzbūvē no jauna jau nākamā lapas pieprasījuma laikā.

Ar to arī skaidrojams, kāpēc pašrocīga tīrīšana bieži neizdodas. Pretī nav viens fails, bet aktīvi uzturēta programma, kas būvēta pārdzīvot noņemšanas mēģinājumus.

Kāpēc inficēta tieši jūsu mājaslapa

Vairumā gadījumu neviens jūs nav izvēlējies. Inficēšana notiek automātiski un masveidā; mājaslapa uzbrucējam nav mērķis, bet līdzeklis.

Šeit aprakstītajā gadījumā ieņēmumus dod slēptas saites. Ļaunatūra jūsu lapās, reizēm arī parastās HTML mājaslapās tajā pašā kontā, ievieto saites, ko apmeklētājs neredz, bet Google redz. Tās ved uz uzbrucēja klientu vietnēm un pārnes uz tām daļu jūsu vietnes reputācijas. Šādas saites tirgo tāpat kā jebkuru citu SEO pakalpojumu, tikai vietnes īpašnieks par to nezina.

Saites ir tikai viens izmantojums. Inficētas mājaslapas izmanto arī surogātpasta sūtīšanai, apmeklētāju pāradresēšanai no meklētājiem uz krāpnieciskām lapām, pikšķerēšanas lapu glabāšanai un failu izplatīšanai; ja lapā ir norēķini, mērķis mēdz būt maksājumu dati. Piekļuvi mēdz arī pārdot tālāk, un nākamais to izmanto savam mērķim.

Ekonomika visos variantos ir līdzīga, un tā izskaidro pārējo ļaunatūras uzvedību:

• Vairāk vietņu nozīmē vairāk ieņēmumu. Katra mājaslapa ir vēl viena vieta, ko izmantot vai pārdot, tāpēc ļaunatūra pārceļas uz visām konta mājaslapām un izveido tur slēptus kontus.
• Rezultāts tiek mērīts. Daļa paveidu skaita, cik reižu Google robots apmeklējis inficētās lapas, un sūta šos datus operatoram.
• Nemanāmība ir vērtība. Jo ilgāk vietne paliek inficēta un nepamanīta, jo vairāk tā ienes, tāpēc ļaunatūra slēpjas un redzamus traucējumus nerada.
• Pašatjaunošanās sargā ieņēmumus. Vietne, ko var notīrīt ar vienu dzēšanu, neko neienes, tāpēc lielākais darbs ieguldīts tieši spējā izdzīvot.

Dzēšot vienu failu, jūs aizskarat vienu daļu no mehānisma, kas būvēts tieši šādiem mēģinājumiem. Strādā tikai visu daļu noņemšana vienlaikus.

Kā notīrīt

Secība ir svarīga.

1. Apturēt izpildi. Kamēr mājaslapa apkalpo apmeklētājus, ļaunatūra darbojas un dzēšanu atsauc atpakaļ. Apturēšana izdzēš arī kopiju, ko tā glabā servera atmiņā.
2. Noņemt visu vienlaikus. Failus un datubāzi vienā paņēmienā, nevis pa daļām, jo viena palikusi daļa atjauno pārējās. Svarīga ir arī secība: vispirms jāatvieno klusie ielādētāji (.user.ini, mu-plugins), citādi viss atjaunojas jau minūtes laikā.
3. Nomainīt visas paroles. WordPress administratora, datubāzes, FTP un hostinga konta. Ja tā pati parole lietota citur, jāmaina arī tur.
4. Atjaunināt WordPress, spraudņus un tēmas. Ja iekļūts caur ievainojamību, bez atjauninājuma tas pats ceļš paliek atvērts.
5. Pārbaudīt pēc 72 stundām. Ja kaut kas ir palicis, tas parādās pirmajās dienās.

Pirmajiem diviem soļiem nepietiek ar WordPress vadības paneli vai failu pārvaldnieku. Vajadzīga vismaz SSH piekļuve kontam. Ar to var apturēt savus PHP procesus, ar ipcs un ipcrm noņemt kopiju koplietojamajā atmiņā un strādāt ar datubāzi ārpus mājaslapas; root piekļuve parasti nav nepieciešama. Ja hostings SSH piekļuvi nedod vai šādas pieredzes nav, tīrīšanu dara hostinga sniedzējs vai speciālists, kuram tā ir.

Ko darīt tagad

Ja ir rezerves kopija no laika pirms inficēšanās un saturs kopš tā laika nav būtiski mainījies, atjaunošana no tās ir labs sākumpunkts. Atjaunot vajag gan failus, gan datubāzi vienlaikus. Ja atjauno tikai failus, kā bieži sanāk ar JetBackup un līdzīgiem rīkiem, datubāzē paliek kopija, no kuras viss atjaunojas.

Tomēr ar atjaunošanu vien nepietiek. Rezerves kopija satur failus un datubāzi, bet tā ir diska momentuzņēmums, ne darbojošās sistēmas. Trīs lietas paliek ārpus tās un pēc atjaunošanas var inficēt no jauna: kopija servera atmiņā (tā pazūd tikai pēc procesu restartēšanas vai servera pārstartēšanas), Service Worker administratora pārlūkā un pati ievainojamība vai noplūdusī parole, caur ko notika iekļūšana. Ja tā pati parole ir arī citām konta mājaslapām, tās inficē atjaunoto dažu stundu laikā.

Tāpēc pēc atjaunošanas jārestartē servera procesi, jāiztīra pārlūks, jānomaina visas paroles un jāatjaunina ievainojamais spraudnis. Ar wp-admin vien to izdarīt nevar: vajadzīga vismaz SSH piekļuve kontam vai hostinga sniedzēja palīdzība. Ja kopijas nav vai tā jau ir inficēta, vajadzīga pilna tīrīšana.

Līdz tam divas lietas. Neatveriet wp-admin bez vajadzības, jo katra pieteikšanās var inficēt no jauna. Un nedzēsiet failus pa vienam: tas neko nemaina un mēdz izraisīt pilnu atjaunošanos.

Biežākie jautājumi