Лечение сайтов клиента застройщика

Ход работы

Клиент обратился к нам в состоянии чрезвычайной ситуации. Его онлайн-присутствие (веб-сайты), критически важное для привлечения инвесторов и конечных покупателей, было почти полностью парализовано.

Начальная картина:

1. Полный сбой: Два из четырех основных корпоративных сайтов, на которых размещались актуальные жилые комплексы и информация о продажах, полностью перестали работать, отображая только ошибки или пустую страницу.
2. Угроза распространения: Все четыре ресурса размещались на одном хостинге, без надлежащей изоляции между учетными записями. Это стало основной причиной массового заражения.
3. Обнаруженная инфекция: Экспресс-диагностика показала, что три из четырех сайтов были заражены агрессивным вредоносным кодом.

Диагностика: идентификация «умного» вируса

Первым этапом стало глубокое исследование природы вируса и масштабов ущерба. Выяснилось, что мы имеем дело не с простым дефейсом (замена контента страницы или самой страницы), а с хитрым и хорошо замаскированным вредоносным программным обеспечением.

Детали вируса и его действия:

• Вредоносный код с бэкдором: Вирус представлял собой вредоносный скрипт, который создавал скрытый бэкдор (лазейку) в файловой системе. Этот бэкдор предоставлял злоумышленникам постоянный и неограниченный доступ ко всем файлам сайта.
• Механизм самовосстановления: Наибольшая сложность заключалась в механизме распространения и самовосстановления. Вирус генерировал свою копию практически в каждой папке, в сотнях файлов, маскируясь под легитимные системные файлы или плагины. Если мы удаляли одну копию, остальные скрытые копии мгновенно восстанавливали ее в течение нескольких секунд.
• Маскировка: Код был замаскирован под файл, якобы являющийся «анализатором безопасности сайта». Это была классическая социальная инженерия: вирус под видом антивируса.

• Последствия для данных: Вследствие неконтролируемой активности вируса, который, вероятно, имел целью получить данные или разместить фишинговый контент, произошло удаление значительной части файлов двух сайтов. Это привело к их полному сбою.
• Главный вызов: Из-за сложной структуры каталогов (тысячи файлов на каждом сайте) и мгновенного самовосстановления вируса, ручное лечение было невозможным и абсолютно неэффективным. Необходима была комплексная стратегия изоляции и автоматизированной дезинфекции.

План лечения: поэтапная стратегия «Изоляция и Дезинфекция»

Наша команда разработала четкий план из пяти ключевых этапов, чтобы гарантировать полное удаление вируса и надежное восстановление функциональности.

Этап 1: Аварийное сохранение и поиск чистых копий

1. Запросы на резервное копирование: Мы немедленно обратились в поддержку хостинга, чтобы получить последние резервные копии (бэкапы).
2. Анализ бэкапов: К сожалению, большинство бэкапов оказались зараженными, поскольку вирус был активен уже некоторое время. Однако мы тщательно перебрали архивы и смогли извлечь несколько критически важных, неповрежденных файлов, которые помогли восстановить базовую структуру двух «убитых» сайтов.

Этап 2: Изоляция и локализация угрозы

1. Полная выгрузка: Чтобы остановить механизм самовосстановления вируса и его распространение между сайтами, мы полностью выгрузили все файлы трех зараженных сайтов с хостинга на локальные защищенные серверы.
2. Работа в изоляции: Вся дальнейшая работа по лечению и сканированию проводилась в изолированной, оффлайн-среде, где вредоносный код не мог выполняться или получать внешние команды.

Этап 3: Глубокое лечение и очистка

1. Сканирование специализированными инструментами: Мы использовали мощные антивирусные сканеры, настроенные на идентификацию скрытых бэкдоров, закодированных строк и файлов с высокой энтропией (что характерно для вирусов).
2. Ручная проверка критических файлов: После автоматического сканирования наши специалисты вручную проверили ключевые файлы системы, чтобы убедиться, что не осталось ни одного скрытого кода.
3. Замена ядра и плагинов: Это был критический шаг. Мы полностью удалили старое ядро CMS (WordPress) и все установленные плагины. Вместо них были установлены новые, чистые версии, загруженные исключительно из официальных репозиториев. Это гарантировало, что мы не вернем случайно зараженный плагин.
4. Очистка баз данных: Базы данных также были тщательно проверены на наличие инъекций вредоносных скриптов в таблицы пользователей, опций или постов.

Этап 4: Внедрение проактивной безопасности

После того, как сайты были полностью вылечены, мы перешли к созданию защитного периметра, чтобы гарантировать безопасность на будущее:

1. Настройка файрвола уровня CMS: Установлены и настроены профессиональные плагины безопасности со встроенным файрволом веб-приложений (WAF).
2. Защита от Brute Force: Внедрение двухфакторной аутентификации для администраторов, ограничение попыток входа и блокировка IP-адресов.
3. Мониторинг целостности файлов: Настройка системы, которая мониторит любые несанкционированные изменения в файлах сайта и мгновенно сообщает о них, блокируя потенциальную угрозу.
4. Изоляция хостинга: На хостинге была настроена изоляция учетных записей для каждого сайта, чтобы в случае, если один сайт будет скомпрометирован, вирус не мог распространиться на остальные.

Этап 5: Возвращение и мониторинг

1. Выгрузка чистых сайтов: Вылеченные и защищенные копии сайтов были загружены обратно на хостинг.
2. Тестирование функциональности: Проведено полное тестирование всех функций, форм, галерей и ссылок.
3. Пост-запусковый мониторинг: В течение следующих недель был установлен усиленный мониторинг трафика и активности на файлах, чтобы убедиться в отсутствии каких-либо скрытых или повторных попыток заражения.

Полученный результат