Recupero di siti compromessi
Trovare come sono entrati, chiudere tutte le porte, ricostruire pulito e verificare con gli occhi del motore di ricerca.
Il tipo di attacco più diffuso sui siti aziendali non li butta giù: li usa. Il sito continua a funzionare per chi lo visita, e intanto mostra ai motori di ricerca centinaia di pagine di contenuti estranei, spesso in un’altra lingua. Il risultato è la perdita del posizionamento e, nei casi peggiori, la segnalazione come sito pericoloso.
Il sintomo che smaschera tutto
La stessa pagina chiesta da una persona e da un motore di ricerca deve tornare identica. Se a una persona tornano poche decine di byte e al motore duecento kilobyte di testo estraneo, non c’è altro da discutere: è un attacco che mostra contenuti diversi a seconda di chi guarda.
Il metodo
Isolare prima di toccare. Trovare la via d’ingresso — quasi sempre un componente aggiuntivo non aggiornato con una vulnerabilità pubblica — e non fermarsi lì: chi entra lascia più porte aperte, e toglierne una su sei significa rifare tutto dopo un mese. Ricostruire pulito fuori dal server infetto invece di ripulire in loco. Bonificare anche l’archivio dati, dove restano utenti amministratori creati dall’attacco. E chiudere verificando dal lato del motore di ricerca.
Poi viene la parte noiosa
Copie di sicurezza vere, fuori dal fornitore che ospita il sito. Aggiornamenti presidiati. E un controllo periodico che confronti quello che vede una persona con quello che vede un motore: è il modo più semplice per accorgersi di un ritorno prima che faccia danni.
Track record
- Compromissione con contenuti nascosti e pagine mostrate solo ai motori di ricerca, individuata e chiusa
- Via d'ingresso identificata con precisione: una vulnerabilità nota di un componente aggiuntivo
- Sei porte di servizio lasciate dagli attaccanti trovate e rimosse, non solo la prima
- Sito ricostruito pulito fuori dal server infetto, con tutti i componenti ricontrollati uno per uno
- Archivio dati bonificato: utente amministratore abusivo declassato, sessioni invalidate
- Esito verificato dal lato del motore di ricerca, non solo dal browser
- Tre casi chiusi in quattro mesi: contenuti nascosti ai motori, server con programma di mining e shell remota, stesso kit d'attacco riconosciuto su un terzo sito
- Infezione che mostrava pagine pulite ai controlli automatici e infette ai visitatori veri, smascherata confrontando le due risposte
Tool
analisi forenseWordPressDockerSearch Console
