Sito web hackerato, i visitatori vengono reindirizzati altrove: cosa fare nella prima ora?

Come primissima cosa scaricate subito via FTP il file di configurazione del server sul computer e controllate cosa c'è dentro. Di solito piazzano dei redirect esterni formati da stringhe senza senso in mezzo alle regole di reindirizzamento. Se conoscete la versione originale del file, cancellate quelle righe sospette e salvate: almeno il redirect si ferma temporaneamente.

Il fatto che il redirect si attivi solo da mobile e per chi arriva dai motori di ricerca è il classico controllo sul referrer. Il codice malevolo potrebbe non trovarsi solo nei file core, ma essere stato scritto direttamente nelle tabelle di configurazione del database. Se avete accesso SSH al server, potete scansionare i file modificati nelle ultime 48 ore per individuare al volo quelli sospetti.

Quando aprite il ticket all'hosting fornite per filo e per segno queste tre informazioni: 1) Da quali dispositivi e sorgenti si attiva il redirect, 2) Ora e minuto esatti in cui vi siete accorti del problema, 3) Se avete notato file sconosciuti creati senza autorizzazione nelle cartelle. In questo modo gireranno la segnalazione direttamente al team di sicurezza invece di mandarvi la solita risposta automatica standard.

L'anno scorso è successa la stessa identica cosa al nostro sito di vendita all'ingrosso a Francoforte. Presi dal panico abbiamo ripristinato il backup del giorno prima, ma dopo due ore siamo stati hackerati di nuovo perché c'era una falla in un plugin per i form non aggiornato. Abbiamo perso 2.000 Euro al giorno. Ripristinare solo il backup senza chiudere la falla non è assolutamente una soluzione definitiva.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

Sul vostro sito c'era qualche tema o plugin esterno non aggiornato da tempo? Inoltre, che piano di hosting avete, un server condiviso o un VPS dedicato? Se è condiviso, è molto probabile che l'infezione si sia propagata da un altro sito sullo stesso server.

se l'hosting ha un backup automatico non sovrascrivetelo subito mi raccomando. prima fate una copia di backup dello stato attuale infetto e mettetela da parte poi a volte anche il backup di ieri che credevate pulito è già infetto potrebbe essere necessario risailre ad almeno una settimana fa.

Operando sul mercato tedesco, è fondamentale ai fini delle vostre responsabilità legali verificare l'eventuale fuga di dati degli utenti. Qualora vi fosse la possibilità di un accesso alle informazioni dei clienti o alle pagine di pagamento, potrebbe sussistere l'obbligo di notificare l'accaduto all'autorità garante della protezione dei dati dello stato federale di competenza.

Controllate subito la console di ricerca: se è comparso un avviso nella scheda dei problemi di sicurezza, non appena finita la pulizia dovrete richiedere immediatamente una revisione.

Ottimo lavoro. Cercare di farlo da soli è la strada più costosa.

Se scrivete qui il risultato, sarà utile anche ad altri.

Sono emerse tre opinioni diverse, si completano a vicenda. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Separiamo i concetti, vengono confusi. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Se avete domande, scrivete, rispondo per quanto possibile.

Nel nostro caso è andata così. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Spero che le sia utile.

Ti seguo.

nel nostro caso è andata così. avere il backup accessibile sulla stessa rete e con le stesse credeenziali lo rende parte del bersaglio.

sono curioso di sapere se qualcuno lo fa in modo diverso.

Breve riassunto per i nuovi arrivati: Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Naturalmente cambia se la vostra situazione è diversa.

Sono passato da qui, vi racconto. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Se permessi e ambito non sono scritti, quel test non deve iniziare. Se scrivete qui il risultato, sarà utile anche ad altri.

Vorrei fare una domanda. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Correggetemi se sbaglio.

Se volete procedere così, risolvete questo punto fin dall'inizio. Inizia con un piccolo test, non impegnarti subito su tutto.

Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore. Se avete domande, scrivete, rispondo per quanto possibile.