Strona przekierowuje na kasyno? Jak usunąłem infekcję

Case study realnego zlecenia: infekcja typu casino redirect, mechanizm cloakingu na Googlebota i krok po kroku usunięcie malware

Telefon dzwoni późnym wieczorem. Klient jest zdenerwowany: wpisuje swoją firmę w Google, a w wynikach jego strona wyświetla się jako tureckie kasyno. Na samej witrynie niczego podejrzanego nie widać. Brzmi znajomo? To klasyczna infekcja typu casino redirect — i tak wyglądało jej usuwanie krok po kroku.

Dlaczego kasyno widać w Google, a na stronie nie

Sekret tej infekcji to cloaking, czyli podszywanie treści pod konkretnego odbiorcę. Złośliwy kod sprawdzał, kto wchodzi na stronę. Zwykłemu użytkownikowi pokazywał normalną witrynę — ale gdy wykrywał robota Google, serwował mu podstawioną stronę kasyna. Cel: żeby to wyszukiwarka zaindeksowała firmę jako kasyno. Dlatego problem potrafi działać tygodniami, zanim ktokolwiek go zauważy — właściciel widzi swoją stronę, a szkoda dzieje się „za plecami", w wynikach wyszukiwania.

Co dokładnie znalazłem

Po przeanalizowaniu plików strony obraz był jasny. Reguła przekierowania na kasyno była doklejona w dwóch miejscach konfiguracji (w plikach index.php i .htaccess), a na serwerze siedziało kilka webshelli — plików dających włamywaczowi zdalną kontrolę nad serwerem. Były sprytnie ukryte: część udawała zwykłe zdjęcia i pliki systemowe, żeby nie rzucać się w oczy przy pobieżnym przeglądaniu.

Którędy weszli

Najważniejsze pytanie przy każdym włamaniu nie brzmi „co usunąć", tylko „jak się dostali". Tu tropem okazał się przestarzały, nieaktualizowany blog na WordPressie z dziurawą wtyczką. To była brama: przez nią napastnik dostał się na serwer, a potem zainfekował resztę. Usuwanie samych plików bez zamknięcia tej bramy to jak wynoszenie wody z zalanego mieszkania przy odkręconym kranie.

Jak to posprzątałem

Zamiast kasować pliki „na oko", przygotowałem narzędzie, które robi to bezpiecznie: usuwa dokładnie zidentyfikowane pliki (po weryfikacji sumy kontrolnej, żeby nie ruszyć niczego przypadkiem), a każdą zmianę poprzedza kopią zapasową. Do tego wycięcie doklejonych fragmentów z plików konfiguracyjnych i plan domknięcia sprawy: zmiana wszystkich haseł, aktualizacja oprogramowania, uszczelnienie kodu i zgłoszenie strony do ponownego indeksowania w Google.

Najczęstsze pytania