Questa guida riguarda un tipo di attacco che crea testo giapponese generato automaticamente sul tuo sito, che chiamiamo compromissione con parole chiave giapponesi. È progettata per gli utenti dei più diffusi sistemi di gestione dei contenuti (CMS), ma sarà utile anche se il tuo sito non utilizza un CMS.
Identifica questo tipo di violazione
La compromissione con parole chiave giapponesi in genere crea nuove pagine con testo giapponese generato automaticamente sul tuo sito in nomi di directory generati casualmente (ad esempio, http://example.com/ltjmnjp/341.html). Queste pagine vengono monetizzate grazie a link di affiliazione a store che vendono merci contraffatte, quindi vengono visualizzate nella Ricerca Google. Ecco un esempio di una di queste pagine:
Con questo tipo di attacco, l'hacker in genere si aggiunge come proprietario della proprietà in Search Console per aumentare i profitti manipolando le impostazioni del tuo sito, come il targeting geografico o le Sitemap. Se hai ricevuto una notifica che ti informa che qualcuno che non conosci ha verificato il tuo sito in Google Search Console, è molto probabile che il tuo sito sia stato compromesso.
Inizia controllando lo strumento Problemi di sicurezza in Search Console per vedere se Google ha rilevato una di queste pagine compromesse sul tuo sito. A volte puoi anche scoprire pagine di questo tipo aprendo una finestra della Ricerca Google e digitando site:_your site url_, con l'URL di livello principale del tuo sito. In questo modo, vedrai le pagine che Google ha indicizzato per il tuo sito, incluse quelle compromesse. Scorri un paio di pagine di risultati di ricerca per vedere se trovi URL insoliti. Se non vedi contenuti compromessi nella Ricerca Google, utilizza gli stessi termini di ricerca con un altro motore di ricerca. Ecco un esempio:
In genere, quando fai clic su un link a una pagina compromessa, vieni reindirizzato a un altro sito o visualizzi una pagina piena di contenuti incomprensibili. Tuttavia, potresti anche visualizzare un messaggio che indica che la pagina non esiste (ad esempio un errore 404). Non farti ingannare. Gli hacker cercheranno di farti credere che la pagina non esiste più o che è stata corretta, quando in realtà è ancora compromessa. Per farlo, utilizzano il cloaking dei contenuti. Verifica la presenza di cloaking inserendo gli URL del tuo sito nello strumento Controllo URL. Questo strumento ti consente di visualizzare i contenuti nascosti sottostanti.
Se riscontri questi problemi, è molto probabile che il tuo sito sia stato compromesso da questo tipo di attacco.
Correggi la compromissione
Prima di iniziare, crea una copia offline di tutti i file prima di rimuoverli, nel caso in cui dovessi ripristinarli in un secondo momento. Ancora meglio, esegui il backup dell'intero sito prima di iniziare la procedura di pulizia. Puoi farlo salvando tutti i file presenti sul tuo server in una posizione esterna al server o cercando le migliori opzioni di backup per il tuo sistema di gestione dei contenuti (CMS) specifico. Se utilizzi un CMS, esegui anche il backup del database.
Rimuovere gli account di nuova creazione da Search Console
Se al tuo account Search Console è stato aggiunto un nuovo proprietario che non riconosci, revoca il suo accesso il prima possibile. Puoi controllare quali utenti sono verificati per il tuo sito nella pagina di verifica di Search Console. Fai clic su "Dettagli verifica" per il sito per visualizzare tutti gli utenti verificati.
Per rimuovere un proprietario da Search Console, consulta la sezione Rimuovi proprietario del Centro assistenza Gestione di utenti, proprietari e autorizzazioni.
Dovrai rimuovere il token di verifica associato, che in genere è un file HTML nella directory principale del tuo sito o un file .htaccess generato dinamicamente che imita un file HTML.
Se non riesci a trovare un token di verifica HTML sul tuo sito, controlla se è presente una regola di riscrittura nel file .htaccess. La regola di riscrittura sarà simile a questa:
RewriteEngine On
RewriteRule ^google(.*)\.html$ dir/file.php?google=$1 [L]
Per rimuovere il token di verifica generato in modo dinamico dal file .htaccess, segui questi passaggi:
Controlla il file .htaccess (2 passaggi)
Oltre a utilizzare un file .htaccess per creare token di verifica generati dinamicamente, gli hacker spesso utilizzano le regole .htaccess per reindirizzare gli utenti o creare pagine contenenti spam senza senso. A meno che tu non abbia regole .htaccess personalizzate, valuta la possibilità di sostituire .htaccess con una copia completamente nuova.
Passaggio 1
Individua il file .htaccess sul tuo sito. Se non sai dove trovarlo e utilizzi un CMS come WordPress, Joomla o Drupal, cerca "posizione del file .htaccess" in un motore di ricerca insieme al nome del tuo CMS.
A seconda del tuo sito, potresti visualizzare più file .htaccess.
Crea un elenco di tutte le posizioni dei file di .htaccess.
Passaggio 2
Sostituisci tutti i file .htaccess con una versione pulita o predefinita del file .htaccess. In genere, puoi trovare una versione predefinita di un file .htaccess cercando "file .htaccess predefinito" e il nome del tuo CMS. Per i siti con più file .htaccess, trova una versione pulita di ciascuno e sostituiscili.
Se non esiste un file .htaccess predefinito e non hai mai configurato un file .htaccess sul tuo sito, il file .htaccess che trovi sul tuo sito è probabilmente dannoso. Salva una copia dei file .htaccess offline per ogni evenienza ed elimina il file .htaccess dal tuo sito.
Rimuovi tutti i file e gli script dannosi (4 passaggi)
Identificare i file dannosi può essere difficile e richiedere molto tempo. Prenditi il tuo tempo per controllare i file. Se non l'hai ancora fatto, questo è un buon momento per eseguire il backup dei file sul tuo sito. Esegui una Ricerca Google per "eseguire il backup del sito" e il nome del tuo CMS per trovare istruzioni su come eseguire il backup del sito.
Passaggio 1
Se utilizzi un CMS, reinstalla tutti i file principali (predefiniti) inclusi nella distribuzione predefinita del tuo CMS, nonché tutto ciò che hai aggiunto (ad esempio temi, moduli o plug-in). In questo modo, ti assicuri che questi file non contengano contenuti compromessi. Puoi eseguire una Ricerca Google per "reinstallare" e il nome del tuo CMS per trovare le istruzioni di reinstallazione. Se hai plug-in, moduli, estensioni o temi, assicurati di reinstallare anche quelli.
Passaggio 2
Gli hacker spesso modificano la Sitemap o ne aggiungono di nuove per far indicizzare i loro URL più rapidamente. Se in precedenza avevi un file Sitemap, controlla se contiene link sospetti e rimuovili. Se non ricordi di aver aggiunto file Sitemap al tuo sito, esaminali. Rimuovi il file se contiene solo URL contenenti spam.
Passaggio 3
Cerca altri file dannosi o compromessi. Potresti aver già rimosso tutti i file dannosi nei due passaggi precedenti, ma è meglio eseguire i passaggi successivi nel caso in cui sul tuo sito siano presenti altri file compromessi.
Non farti scoraggiare dall'idea di dover aprire ed esaminare ogni file PHP. Inizia creando un elenco di file PHP sospetti che vuoi esaminare. Ecco alcuni modi per determinare quali file PHP sono sospetti:
- Se hai già ricaricato i file del CMS, esamina solo i file che non fanno parte dei file o delle cartelle predefiniti del CMS. In questo modo dovresti escludere molti file PHP e rimanere con una manciata di file da esaminare.
- Ordina i file presenti sul sito in base alla data dell'ultima modifica. Cerca i file che sono stati modificati entro pochi mesi dal momento in cui hai scoperto che il tuo sito era stato compromesso.
- Ordina i file presenti sul sito in base alle dimensioni. Cerca i file di dimensioni insolitamente grandi.
Passaggio 4
Una volta ottenuto un elenco di file PHP sospetti, controllali per verificare la presenza di contenuti dannosi. Se non hai dimestichezza con PHP, questa procedura potrebbe richiedere più tempo, quindi ti consigliamo di consultare la documentazione di PHP. Se non hai mai scritto codice, ti consigliamo di rivolgerti a uno sviluppatore esperto. Nel frattempo, esistono alcuni pattern di base che puoi cercare per identificare i file dannosi.
Se utilizzi un CMS e non hai l'abitudine di modificare direttamente i suoi file PHP, confronta i file sul tuo server con un elenco dei file predefiniti inclusi nel CMS e in eventuali plug-in e temi. Cerca i file che non dovrebbero essere presenti, nonché i file di dimensioni superiori alla versione predefinita.
Esamina i file sospetti che hai già identificato per cercare blocchi di codice offuscato. Potrebbe sembrare una combinazione di lettere e numeri apparentemente confusi, solitamente preceduti da una combinazione di funzioni PHP come base64_decode, rot13, eval, strrev o gzinflate. Ecco un esempio di come potrebbe apparire il blocco di codice. A volte tutto questo codice viene inserito in un'unica riga di testo, facendolo sembrare più piccolo di quanto non sia in realtà.
$O_O0O_O0_0=urldecode("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70
%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A");
$OO0_0OO0__=$O_O0O_O0_0{26}.$O_O0O_O0_0{6}.$O_O0O_O0_0{10}.$O_O0O_O0_0{30}
Controlla se il tuo sito è pulito
Una volta eliminati i file compromessi, verifica se il tuo duro lavoro ha dato i suoi frutti. Ricordi le pagine con testo senza senso che hai identificato in precedenza? Utilizza di nuovo lo strumento Visualizza come Google per verificare se esistono ancora.
Se rispondono con "Non trovato" in Visualizza come Google, è probabile che la situazione sia sotto controllo e che tu possa procedere alla correzione delle vulnerabilità del tuo sito.
Come faccio a evitare future compromissioni?
La correzione delle vulnerabilità sul tuo sito è un passaggio finale essenziale per la correzione del sito. Un recente studio ha rilevato che il 20% dei siti compromessi viene nuovamente compromesso entro un giorno. È quindi utile sapere esattamente come è stato compromesso il tuo sito. Leggi la nostra guida Principali modalità di compromissione dei siti web da parte degli spammer per iniziare l'indagine. Se non riesci a capire come è stato compromesso il tuo sito, segui questo elenco di controllo per ridurre le vulnerabilità del tuo sito.
- Esegui regolarmente la scansione del computer: utilizza un software antivirus diffuso per verificare la presenza di virus o vulnerabilità.
- Cambia regolarmente le password: cambiare regolarmente le password di tutti gli account del tuo sito web, come il provider host, l'FTP e il CMS, può impedire l'accesso non autorizzato al tuo sito. È importante creare una password efficace e univoca per ogni account.
- Utilizza l'autenticazione a due fattori (2FA): valuta la possibilità di attivare la 2FA su qualsiasi servizio che richieda l'accesso. In questo modo, per gli hacker è più difficile accedere anche se riescono a rubare la tua password.
- Aggiorna regolarmente il CMS, i plug-in, le estensioni e i moduli: si spera che tu abbia già eseguito questo passaggio. Molti siti vengono compromessi perché eseguono software obsoleto. In alcuni sistemi di gestione dei contenuti è supportato l'aggiornamento automatico.
- Valuta la possibilità di abbonarti a un servizio di sicurezza per monitorare il tuo sito: sono disponibili molti servizi che possono aiutarti a monitorare il tuo sito a un costo contenuto. Per mantenere sicuro il tuo sito, valuta se registrarti a tali servizi.
Risorse aggiuntive
Se continui a riscontrare problemi con la correzione del tuo sito, ecco alcune altre risorse che potrebbero aiutarti.
Questi strumenti analizzano i siti e potrebbero riuscire a rilevare contenuti problematici. Google non li esegue e non li supporta, ad eccezione dello strumento VirusTotal.
Questi sono solo alcuni strumenti che potrebbero essere in grado di scansionare il tuo sito alla ricerca di contenuti problematici. Tieni presente che questi scanner non possono garantire l'identificazione di ogni tipo di contenuto problematico.
Ecco alcune risorse aggiuntive di Google che potrebbero essere utili: