Site pirateado: reconhecer, recuperar e prevenir

Módulo 7: Segurança · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, será capaz de reconhecer um ataque informático, recuperar o site pela ordem correta e evitar que volte a acontecer.

Conceitos-chave: sinais de um ataque informático, documentar, isolar, substituir todas as palavras-passe e salts, encontrar a entrada, registos (logs), cópia de segurança limpa, reinstalação limpa, somas de verificação, administradores desconhecidos, PHP em uploads, mu-plugins, Search Console, comunicar uma violação de dados

O que é um ataque informático

Um site está pirateado quando alguém, sem autorização, obteve controlo sobre (parte de) o seu site: consegue alterar ficheiros ou a base de dados, ou executar código. Muitas vezes esse alguém mantém o acesso através de uma porta das traseiras: um ficheiro ou pequeno trecho de código escondido que lhe permite voltar mais tarde, mesmo depois de fechar a falha original.

Este último ponto é o cerne desta lição: remover apenas os danos visíveis não é suficiente. Enquanto a porta das traseiras existir, ou a falha pela qual o atacante entrou estiver aberta, o problema repete-se. Muitas vezes dentro de alguns dias.

Reconhecer

Sinais (alguns vê diretamente, outros tem de procurar):

• O Google indica no seu site "Este site pode ter sido pirateado", ou a Search Console assinala um problema de segurança.
• Nos resultados de pesquisa (site:example.com) aparecem páginas que não reconhece, muitas vezes noutro idioma ou sobre medicamentos, jogos de azar ou lojas falsas.
• Os visitantes são redirecionados, muitas vezes apenas quando chegam através do Google ou num telemóvel. Você não vê isso, porque tem sessão iniciada ou acede através de um marcador. Teste numa janela privada, acedendo a partir de um resultado de pesquisa.
• Em Utilizadores aparece um administrador que não reconhece.
• Existem ficheiros PHP em wp-content/uploads, ou ficheiros com nomes estranhos na pasta principal ou em wp-content/mu-plugins.
• O seu fornecedor de alojamento ou um antivírus para malware assinala ficheiros infetados; o seu correio é rejeitado ou o seu pacote envia spam.
• O site está de repente lento ou o seu espaço de armazenamento enche-se.

O plano de ação

1. Manter a calma e documentar

Não elimine tudo de imediato. Registe o que observa e desde quando, tire capturas de ecrã e faça uma cópia do estado atual (ficheiros e base de dados, ou uma cópia de segurança extra através do seu fornecedor de alojamento). Vai precisar dessa cópia para encontrar a entrada do atacante e como prova. Não a guarde na pasta web.

2. Parar os danos para os visitantes

Desligue temporariamente o site ou coloque uma página de manutenção, sobretudo se os visitantes estiverem a ser redirecionados para malware ou phishing. No DirectAdmin pode suspender o domínio; noutros casos pode usar uma palavra-passe para todo o site ou um ficheiro index.html temporário com um aviso.

3. Substituir todas as palavras-passe e chaves

Parta do princípio de que o atacante conhece todas as palavras-passe que estavam acessíveis no site ou através dele. Substitua, de preferência a partir de outro computador (limpo):

• a palavra-passe do seu painel de alojamento e de todas as contas FTP e SFTP (remova as contas que não utiliza);
• a palavra-passe do utilizador da base de dados, e atualize-a em wp-config.php;
• as palavras-passe de todos os administradores do WordPress, e remova as contas que não reconhece;
• as chaves e salts em wp-config.php (lição 1.3). Isto invalida todos os cookies de sessão, incluindo os do atacante;
• palavras-passe de aplicação (lição 3.3) e chaves de API de integrações;
• palavras-passe de e-mail, se tiver havido envio de spam através de uma caixa de correio.

De seguida, ative a autenticação de dois fatores em tudo (lição 7.3).

4. Encontrar a entrada

Sem conhecer a entrada, não pode ter a certeza de que foi fechada. As causas mais comuns (lição 7.1), e onde procurar:

• Um plugin ou tema desatualizado: que componentes estavam desatualizados? Procure os nomes numa base de dados de vulnerabilidades (lição 5.3).
• Uma palavra-passe comprometida: verifique o histórico de início de sessão do seu painel de alojamento e do FTP.
• Os registos (logs) do servidor web: procure, à volta do momento em que apareceram os primeiros ficheiros estranhos, pedidos POST para ficheiros desconhecidos ou para ficheiros de plugins, muitas vezes a partir do mesmo endereço IP.
• Ficheiros por data: ordene no Gerenciador de arquivos ou via SFTP por data de alteração. Os ficheiros alterados ao mesmo tempo, sobretudo fora de uma atualização, merecem atenção.

5. Limpar

Dois caminhos, muitas vezes combinados:

A. Restaurar uma cópia de segurança limpa anterior ao ataque (lição 8.2). Escolha uma cópia de segurança de uma data claramente anterior aos primeiros sinais, pois os atacantes por vezes esperam semanas. Restaure de forma completa, de modo a que os ficheiros adicionados também desapareçam. Depois, atualize tudo de imediato (caso contrário a falha volta a estar presente). Desvantagem: tudo o que foi criado depois da cópia de segurança (artigos, encomendas) desaparece.

B. Reconstruir de forma limpa mantendo o conteúdo existente:

1. Substitua o próprio WordPress por uma cópia nova de wordpress.org (wp-admin, wp-includes e os ficheiros soltos; não wp-content nem wp-config.php). Com o WP-CLI pode primeiro verificar o que foi alterado:

wp core verify-checksums
wp plugin verify-checksums --all

Estes comandos comparam os seus ficheiros com as versões oficiais e assinalam qualquer ficheiro alterado ou adicional (o segundo comando apenas para plugins provenientes do diretório de plugins de wordpress.org).

2. Remova todos os plugins e temas e reinstale-os a partir da fonte original, na versão mais recente. O que não precisar, não volta a instalar.
3. Verifique wp-content/uploads à procura de ficheiros PHP e outros ficheiros que não sejam media, e verifique também wp-content/mu-plugins.
4. Verifique o .htaccess à procura de regras de redirecionamento estranhas, e o wp-config.php à procura de linhas que não reconheça.
5. Verifique a base de dados: administradores desconhecidos, as opções siteurl, home e active_plugins em wp_options, e procure nos artigos scripts inseridos (<script com endereços estranhos).
6. Verifique as tarefas agendadas: tarefas cron no seu painel de alojamento e o WP-Cron (com um plugin ou wp cron event list).

Um antivírus para malware (do seu fornecedor de alojamento ou um plugin) ajuda a encontrar problemas, mas não confie cegamente nele: o que ele não encontra pode continuar lá.

6. Fechar e verificar

• Atualize tudo, reforce a segurança (lição 7.4) e volte a ativar o site.
• O seu site aparece marcado como inseguro pelo Google? Peça na Search Console, em Problemas de segurança, uma nova avaliação, mas só depois de tudo estar limpo.
• Fique atento nas semanas seguintes: novos ficheiros, novos administradores, alertas do seu antivírus. Se o problema voltar, significa que a entrada ou uma porta das traseiras ainda não foi encontrada.

Dados pessoais: comunicar uma violação de dados

Se os atacantes tiveram acesso a dados pessoais (dados de clientes de uma loja online, respostas a formulários, listas de membros, os utilizadores do seu site), trata-se de uma violação de dados na aceção do RGPD. Nesse caso, tem de a comunicar à CNPD (Comissão Nacional de Proteção de Dados) no prazo de 72 horas após a deteção, salvo se for improvável que a violação constitua um risco para as pessoas em causa (artigo 33.º do RGPD). Se o risco for elevado, tem também de informar diretamente essas pessoas (artigo 34.º). Em qualquer caso, documente o que aconteceu e o que fez, mesmo que não comunique a violação. Em caso de dúvida, consulte o site da CNPD (lição 9.3).

Pedir ajuda

Limpar um site pirateado exige tempo e experiência. Se não tiver a certeza de ter resolvido tudo, peça ajuda: o seu criador de sites, uma empresa especializada ou o seu fornecedor de alojamento (alguns fornecedores, incluindo a WebOké, oferecem este serviço, geralmente mediante pagamento). Forneça-lhes a cópia do passo 1, o que observou e quando, e o que já fez.

Resumo

• Um ataque informático deixa muitas vezes uma porta das traseiras; remover apenas os danos visíveis não é suficiente.
• Ordem a seguir: documentar, proteger os visitantes, substituir todas as palavras-passe e salts, encontrar a entrada, limpar, fechar e verificar.
• A limpeza pode ser feita com uma cópia de segurança limpa, de bastante antes do ataque, ou instalando de novo o WordPress, os plugins e os temas, e verificando uploads, mu-plugins, .htaccess e a base de dados.
• wp core verify-checksums mostra quais os ficheiros do WordPress que foram alterados.
• Se estiverem envolvidos dados pessoais, comunique a violação à CNPD no prazo de 72 horas, salvo se for improvável que constitua um risco.

Questionário

Exercício

Exercício D7.5: O seu plano de emergência para um ataque informático. Preencha o plano de emergência para o seu próprio site, de modo a não ter de o pensar quando for preciso: onde estão as suas cópias de segurança e até que data recuam, quem tem quais palavras-passe e como as substitui todas (lista), onde encontra os registos (logs) do seu alojamento, a quem recorre para pedir ajuda, e que dados pessoais existem no seu site (para saber se tem de comunicar uma violação de dados). Depois, faça o exercício: que cinco passos daria na primeira hora após receber o aviso "Este site pode ter sido pirateado", por que ordem, e porquê essa ordem?

Leitura adicional

Estes artigos descrevem os passos nos painéis da WebOké; noutros painéis o funcionamento é semelhante.

• Manual DirectAdmin 18.2: O meu site foi pirateado: plano de ação
• Ajuda! O meu site foi pirateado. Como posso resolver ou evitar isso?
• Manual DirectAdmin 15.11: Imunify360: analisar o seu website em busca de malware
• Manual DirectAdmin 17.2: Estatísticas e logs dos domínios: o log de erros e o log de acesso
• Manual DirectAdmin 3.4: Histórico de login no painel: quem iniciou sessão e quando?
• Violações de dados (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• FAQ: o meu site foi pirateado (wordpress.org, em inglês): https://wordpress.org/documentation/article/faq-my-site-was-hacked/