Очищення сайтів від вірусів

Лікування сайтів від вірусів (Malware Removal) – це комплекс заходів і методик, спрямованих на виявлення та усунення шкідливого коду й зловмисного програмного забезпечення в межах електронних ресурсів.

Основні причини появи вірусів на сайті:

Аналіз шкідливих файлів і програм в сервісі VirusTotal.

• Відсутність фаєрволу (WAF): на сайті не встановлена система виявлення та запобігання комп’ютерним атакам та вірусам, не ведеться моніторинг і відстеження підозрілої активності, логування інцидентів і подій, відсутні правила блокування IP-адрес.
• Відсутність двофакторної авторизації (2FA): на сайті відсутні програмні модулі авторизації з додатковим підтвердженням через пристрій або додаток (Google Authentificator), що захищають від зламу.
• Відсутність CAPTCHA: на сайті відсутня інтелектуальна система захисту від ботів та спаму, яка являє собою захисну перевірку у вигляді тесту, наприклад Google reCaptcha чи Cloudflare Captcha.
• Відсутність перевірки вхідних даних (input validation, sanitization code): інформація яка надсилається на сайт належним чином не перевіряється, не очищується і не екранізується від забороненого коду, що дозволяє зловмиснику виконувати різні скрипти у тілі сайту (DOM), виконувати SQL/PHP/XSS-ін’єкції, проводити атаки із завантаженням файлів (LFI/RFI) та віддаленим виконанням шкідливого коду (RCE).
• Відкриті мережеві порти: на сервері існує велика кількість публічно доступних, незахищених мережевих портів на протоколах TCP і UDP. Вхідні з’єднання з ними не фільтруються, номера портів встановлені по замовчуванню, що створює ризики Brute Force атак, флуду, злому, проникнення.
• Відсутність HTTP-заголовків безпеки: у кодах відповіді сайту відсутні спеціальні HTTP-заголовки, які захищають з’єднання від перехоплення, ін’єкцій, MITM-атак, клікджекінгу, хіджекінгу та інших маніпуляцій по протоколу HTTP.

Виявлення зловмисного програмного забезпечення на VPS-сервері з допомогою мережевих сканерів.

• Відсутність SSL-сертифіката: сайт використовує незахищене HTTP-з’єднання, яке є вразливим до кібератак. SSL-сертифікат не встановлений, не налаштований належним чином або неякісний. На сервері використовуються застарілі TLS-протоколи.
• Помилки в конфігурації (security misconfiguration): система не налаштована і не протестована належним чином, сайт і веб-сервер, який його обслуговує, працюють з перебоями, використовуються типові налаштування, які призводять до різних помилок, високого навантаження, а також вразливостей.
• Недостатні контроль і політика доступу: в межах електронного ресурсу не ведеться аналіз та контроль облікових записів, операції користувачів не записуються у журнали, відсутні сповіщення про входи та зміни у файловій системі, некоректно налаштовані права доступу.
• Слабкі паролі (weak passwords): використовуються надто легкі та короткі паролі для доступу до облікових записів, адміністративних частин сайту, мережевих і серверних сервісів, їх можна підібрати методом перебору.
• Застарілі або неякісні компоненти (outdated components): на сайті використовується програмне забезпечення, модулі та плагіни з ненадійних джерел, які більше не підтримуються, містять помилки вихідного коду або потребують негайного оновлення.
• Незахищений хостинг: власник користується віртуальним Shared-хостингом, де відсутня автоматична перевірка файлів на віруси, адміністратори не проводять технічних заходів щодо забезпечення кіберзахисту серверів та виявлення Malware. У висновку на серверах з’являються заражені сайти, які можуть негативно впливати на сусідні ресурси.

Основні джерела зараження, походження та надходження вірусів:

Зразки шкідливого коду, відібрані у процесі досліджень.

• Nulled-плагіни і теми, Crack’и – це неліцензійне, “піратське” або зламане програмне забезпечення, добровільно завантажене власником сайту зі сторонніх неперевірених джерел, форумів, торент-трекерів. Такі компоненти, зазвичай, містять вбудований шкідливий код (стилер, майнер) або скрипт, що проявляє себе у рідких випадках.
• Відсутність цифрової грамотності і гігієни – недотримання власником сайту базових вимог і рекомендацій безпеки в інтернеті, відвідування шкідливих сайтів, відсутність VPN, наївність, довірливість та неуважність, перехід за різними посиланнями та таке інше. Власник в таких випадках сам стає джерелом появи вірусів на своєму сайті.
• Недобросовісні конкуренти – це конкуренти по ніші, справі або бізнесу, які намагаються вивести ваш сайт з ладу та таким чином відбити потік користувачів, відвідувачів, прихильників, потенційних клієнтів.
• Чорні хакери (Black-Hat Hackers) – це фахівці з кібербезпеки, які зламують сайти з допомогою різних методів та прийомів хакінгу, на замовлення або для своїх потреб і задач: соціальної інженерії, фішингу, організації ботнет, проведення DOS/DDOS-атак.
• Чорні сеошники (Black-Hat SEO) – це фахівці з пошукової оптимізації (SEO), які використовують чорні методи просування у пошукових системах і застосовують заражені сайти для спаму, монетизації, заробітку на партнерських програмах, посиланнях, продажу.
• APT (Advanced Persistent Threat) – це добре організовані команди професійних пентестерів Red Team, які працюють незалежно або спонсоруються урядами, і мають конкретну ціль – цілеспрямовано взламати конкретний сайт, організацію або компанію.
• Script-Kiddie – це просунуті інтернет-користувачі, які не дотягують до рівня професійних хакерів і займаються хакінгом заради хобі або навчання, не мають якоїсь конкретної корисливої мети.

Наслідки вірусів на сайті:

Приклад дії зловмисного коду, який назвали Japanese Hack. Визначити його можна за японськими літерами на сторінках сайту, які з’являються в сніппетах у пошуковій видачі.

• Сайт втрачає рейтинг та репутацію у пошукових системах (трафік/позиції).
• IP-адреса сайту може бути занесена у чорні списки різних сервісів і онлайн-систем (blocklists), у тому числі міжнародних та державних.
• Сайт може без відома власника брати участь у злочинних операціях, DDOS-атаках, розсилати спам і фішингові повідомлення.
• Сайт працює з помилками та частими збоями.
• Сайт втрачає довіру збоку користувачів.
• Дані користувачів (паролі, веб-гаманці, номери, банківські реквізити, cookie, сесії) можуть бути перехоплені і викрадені злочинцями.
• Хостинг-провайдер може забанити сайт без права на поновлення.
• Віруси можуть автоматично завантажуватись на пристрої користувачів і паралізувати операційні системи, що створює ризик ланцюжкової реакції та може спричинити масову епідемію.
• Власник сайту може бути оштрафований і притягнутий до кримінальної відповідальності правоохоронними органами за систематичні порушення.