Защита от вирусов по ftp

Безопасная работа по FTP

Вирусы и другой вредоносный код могут попасть на сайт различными способами. Один из них – через FTP соединение, которым пользуются владельцы сайтов для загрузки, удаления и редактирования файлов на хостинге.

Взлом и заражение по FTP происходит всегда примерно по одной и той же схеме: выполняется подбор, перехват или кража логина/пароля от FTP, после чего в ручном или автоматическом режиме на хостинг загружается вредоносный код. При взломе по FTP могут изменяться существующие файлы (например, index.php или .htaccess) и загружаться новые (например, WSO шелл).

Один из вероятных вариантов перехвата пароля - наличие троянских программ на компьютере владельца сайта, которые отслеживают подключение по FTP, запоминают переданные данные от FTP сессии и сообщают их автору "вредоноса". Другой вариант перехвата FTP доступов - использование хакерами специального программного обеспечения: снифферов сетевого трафика. Также достаточно популярный и легкий способ получения пароля от FTP - банальное чтение "трояном" настроек соединения из FTP клиента или браузера, куда их сохранил сам пользователь. Обычно, логин/пароль не шифруются и хранятся в FTP клиенте практически в открытом виде, поэтому вирус или троян, работающие на зараженном компьютере, с легкостью могут их извлечь из реестра или конфигурационных файлов и передать злоумышленнику по сети.

Если на вашем сайте появился вирус, мобильный редирект или другой вредоносный код, вы можете проверить, был ли он загружен по FTP или попал другими путями. Для проверки гипотезы заражения через FTP необходимо запросить логи (журнал) FTP подключений в тех поддержки хостинга. Лог FTP выглядит примерно так:

Анализировать данный лог очень просто, достаточно смотреть только на важные для анализа поля. Возьмем первую строку из прямоугольника:

Fri Feb 28 22:49:41 2014 – дата операции
185.26.123.230 – IP адрес клиента (пользователя), который выполнял операцию
3499 – размер файла
/home/…/htdocs/www/.htaccess – имя файла, с которым была выполнена операция
i (“incoming”) – файл загружен на хостинг (o – файл выгружен с хостинга)

Допустим, произошло заражение файла .htaccess, в который внедрился мобильный редирект. По имени файла находим все строки, в которых выполнялись чтение (o) и запись (i) файла .htaccess, проверяем по дате и IP адресу, кто вносил в них изменения, и делаем соответствующий вывод.

Иногда по логу видно, что файл сначала скачивается, затем загружается, но уже с вредоносным кодом (проверить, что файл увеличился, можно, сравнив размер скаченного и загруженного файлов). По FTP чаще всего вредоносный код добавляется в индексные файлы index.php, index.html и файлы .htaccess.

Учитывая открытость FTP трафика и легкость перехвата данных FTP аккаунта, не рекомендуется использовать данный протокол при работе с сайтом. Вместо него желательно работать с файлами через безопасное SFTP подключение (“Secure FTP”), которое использует шифрованное соединение и является надстройкой SSH-2, разработанной для более удобной работы с файлами. Поэтому для работы по SFTP на хостинге должен быть доступен SSH (на всех современных хостингах он есть). В качестве SFTP клиента можно использовать бесплатный и функциональный клиент WinSCP5.

Если работать по SFTP по каким-то причинам не получается, ниже приводим технику безопасности по работе с FTP протоколом, следуя которой вы исключите возможность взлома и заражения сайта по FTP.

Проверяйте рабочие компьютеры, с которых выполняется подключение по FTP, коммерческими антивирусами с обновляемой базой. Это позволит существенно снизить вероятность перехвата логинов/паролей троянскими программами.
Не пользуйтесь FTP подключением в публичных сетях (в частности, при подключении к открытой WIFI точке). Люди с “цептером” уже ждут вас.
Не сохраняйте пароль в FTP клиенте.
Старайтесь менять пароль после работы по FTP или, по крайней мере, не реже раза в месяц.
Отключите FTP на хостинге через панель управления, если вы с ним не работаете в течение долгого времени.
Соблюдайте политику безопасности при работе с FTP аккаунтами: для нового человека создавайте отдельный FTP аккаунт, а по окончании работ удаляйте аккаунт. Это позволит отслеживать изменения, выполняемые каждым FTP пользователем.
Ограничьте операции по FTP через файл .ftpaccess. Уточните в тех поддержке хостинга, в каком каталоге необходимо создать данный файл и добавьте в него

Allow from 1.2.3.4

Где 1.2.3.4 – это ваш (разрешенный) IP адрес.

Если у вас динамический, то его можно будет поменять через файловый менеджер панели управления.

Если у вас остались вопросы по безопасной работе с FTP, за консультацией можете обратиться к нашим специалистам.

Дополнительный материал для интересующихся:

FTP-хостинг – быстрая загрузка файлов на сервер и скачивание их оттуда.

FTP-доступ – наиболее простой и удобный способ работы с файлами на сервере. Аббревиатура FTP расшифровывается как File Transfer Protocol – протокол передачи файлов. Благодаря простоте, удобству и наглядности данный способ управления файлами все еще остается наиболее популярным. Протокол FTP поддерживают все современные браузеры, а для профессиональной работы существуют специальные программы, обеспечивающие максимум возможностей.

Основная задача программ, поддерживающих FTP-хостинг – быстрая загрузка файлов на сервер и скачивание их оттуда. Раньше такие программы были преимущественно платными, но сегодня существуют полностью бесплатные и достаточно мощные программные пакеты, в которых прекрасно реализован весь функционал, какой только может потребоваться.

Для чего нужен FTP Хостинг

FTP – один из первых протоколов, созданных для сетевого обмена информацией. Его популярность сохраняется и сегодня благодаря широкой поддержке со стороны провайдеров и простоте использования. Он позволяет закачивать файлы и папки на сервер, используя удобный файловый менеджер. С его помощью можно быстро загрузить на хостинг целый сайт или коллекцию файлов.

Чаще всего пользователям требуются следующие функции:

быстрая пакетная загрузка файлов на сервер;
быстрое скачивание;
управление файлами и папками на хостинге;
автоматическая синхронизация при редактировании файлов.

Большинство программных пакетов достойно справляются с первыми тремя функциями из данного списка, а вот синхронизация доступна далеко не в каждом приложении. Между тем, это очень важная функция, которая требуется не только вебмастерам для работы с хостингом. Она необходима в любом виде деятельности, где нужно обеспечивать удаленную работу сотрудников с файлами одного общего проекта. Учитывайте, что не каждый FTP-клиент умеет синхронизировать файлы в режиме реального времени.

Как защитить FTP от взлома

Защита от несанкционированного доступа – важнейшая задача, которая стоит перед каждым пользователем FTP. Если злоумышленник получит пароль, он сможет загрузить на сервер любые файлы. Даже если он получит доступ с минимальными привилегиями и не сможет запустить на сервере вирус, у него будет возможность добавить прямо на страницы сайта вредоносный код, который будет исполняться в браузерах пользователей. Получив доступ к ФТП, он сможет скопировать важную информацию или даже украсть сайт, полностью продублировав его на другом сервере. Масштаб возможного ущерба нельзя недооценивать, поэтому так важно, чтобы была обеспечена надежная защита.

Можно выделить четыре основных рекомендации по надежной защите FTP-доступа от злоумышленников:

Берегите собственный рабочий компьютер от вирусов.
Используйте только проверенный софт.
Отдавайте предпочтение защищенному каналу связи (SCP, FTPS).
Ограничьте доступ с посторонних IP-адресов в файле .ftpaccess.

Рассмотрим каждый пункт подробнее. Чаще всего взлом FTP происходит из-за недостаточной осторожности самого пользователя. Существуют специальные вирусы, которые неприметно сидят на компьютере и не делают вообще ничего подозрительного, только крадут логины и пароли. Масштаб возможного ущерба зависит только от конкретных целей злоумышленника. Он может удалить файлы, заразить сервер вирусом, добавить собственные рекламные баннеры или вредоносный код на страницы сайта. Поэтому при использовании любого софта для доступа к FTP обязательно регулярно проверяйте компьютер на наличие вирусов.

Если злоумышленник получит доступ к вашему интернет-каналу, он сможет перехватывать и даже модифицировать пакеты данных, циркулирующие между компьютером и сервером. Избежать этого можно, используя защищенные каналы связи, например, SSH – протокол для быстрого и безопасного управления сервером, а также передачи любой информации. Поскольку на сегодня это основной протокол для данной цели, его поддерживают все провайдеры (правда, не всегда клиентам предоставляется доступ по умолчанию). Можно также воспользоваться безопасным протоколом FTPS, который функционально отличается от FTP только включенным по умолчанию шифрованием данных.

Лучший и наиболее надежный способ защитить FTP-хостинг – ограничение по IP-адресам, прописанное в файле .ftpaccess. Данный файл позволяет управлять доступом очень гибко, блокируя отдельные IP или целые диапазоны, закрывая доступ к конкретным файлам или каталогам. Проще всего создать этот файл на собственном компьютере, прописать в нём все необходимые правила и ограничить доступ одним-двумя IP-адресами, после чего загрузить его на сервер. Если есть задача ограничить доступ к конкретной папке, файл .ftpaccess следует помещать именно в эту папку.

Создание FTP-аккаунта на сервере

Настройка FTP-соединения на компьютере

Как только аккаунт создан, можно сразу вводить необходимые настройки в FTP-клиент и подключаться к серверу. Все современные программы имеют достаточно простой диалог настроек, поэтому затруднений возникнуть не должно. Для полноценного подключения достаточно заполнить всего четыре поля: адрес сервера (доменное имя сайта или IP), номер порта (по умолчанию – 21), логин и пароль. Ошибиться в заполнении этих полей практически невозможно. Если вы уверены, что настроили всё правильно, а подключение не работает, проверьте настройки FTP-пользователя на сервере.

Выводы

Протокол FTP – быстрый, простой и удобный способ загрузки файлов на сервер. С его помощью можно закачать единичный файл или загрузить целый сайт при переносе с другого хостинга. Существует достаточно много хороших программ для работы с данным протоколом, полноценно выполняющих все основные функции. Чтобы избежать взлома сайта, рекомендуется использовать только защищенные каналы связи, которые никак не ограничивают функциональность, но предотвращают перехват и модификацию информации злоумышленниками. Создать и настроить FTP-аккаунт вы можете прямо в панели управления хостингом, а если возникают сложности – вам всегда поможет служба технической поддержки.

Что такое MODX?

MODX (Модэкс или Модикс) — это бесплатная система управления содержимым (CMS) с элементами фреймворка для разработки веб-приложений.

Есть 2 версии CMS: актуальная MODX Revo и динозавр MODX Evo. Настоятельно рекомендуется использовать именно MODX Revolution.

ТОП-3 уязвимости MODX

Своего врага нужно знать в лицо. Поэтому рассказываем по-порядку о последних официально зафиксированных уязвимостях.

3 место. 11 июля 2018

Один из массовых взломов MODX был зафиксирован летом 2018-го.

Кодовые названия вирусных атак CVE-2018-1000207 и CVE-2018-1000208.

Взлом проходит по 2-3 классическим сценариям. Вирус выдает себя наличием файлов с подозрительными именами: dbs.php и cache.php в корне сайта (а еще бывает там майнер лежит).

Избежать заражения MODX можно при соблюдении двух условий:

если папка connectors переименована и закрыт к ней доступ;
переименована папка assets (при использовании компонента gallery).

Проблема в следующем. MODX передает пользовательские параметры в класс phpthumb без необходимой фильтрации. Для заражения сайта используются скрипт /connectors/system/phpthumb.php или любой другой передающий параметры в класс modphpthumb.class.php. Вредоносный скрипт получает на вход имена функций и параметры через куки. С помощью полученных данных происходит косвенный вызов этих функций. Например, если у вас установлен плагин Gallery (классика жанра), то атака может происходить через скрипт: /assets/components/gallery/connector.php.

Если сайт размещен на аккаунте виртуального хостинга без изоляции сайтов, то данный backdoor позволяет заразить не только хакнутый сайт, но и его “соседей”.

Найти и удалить вирусные файлы, обновить CMS до последней версии.

2 место. 27 октября 2018

Уже через три месяца после предыдущей атаки, была зафиксирована новая уязвимость. На этот раз в сниппете AjaxSearch.

Найти и удалить вирусные файлы, обновить сниппет до последний версии.

1 место. 24 апреля 2019

Самая свежая угроза MODX зафиксирована весной 2019-го.

Проверить свой сайт на такую уязвимость можно следующим образом. Введите в строку любого браузера адрес вашего домена + /setup.

Зайти через SSH или FTP на свой сервер и удалить этот каталог.

Обнаружение вирусов на живых примерах

Теперь на наглядных примерах рассказываю, как может проявлять себя вирус. Под уязвимость попал сайт на системе MODX Revolution 2.6.5-pl. Сразу стоит отметить, что внешне вирус себя особо не выдавал. Т.е. сайт не падал, не было редиректов на странные страницы, картинки отображались корректно и так далее.

Над сайтом проводились работы по сео-оптимизации, в том числе оптимизировалась карта сайта. В один не очень прекрасный день, был скачан файл sitemap.xml, для анализа его корректности. Открыв карту сайта, увидел такую картину:

В хвост url-адресов сайта прописался мусор, сгенерированный вирусом. Проверив в админке правила заполнения карты, я не нашел никаких следов деятельности паразита. Оказалось, что карту просто подменили. Первым делом вернул корректный сайтмап, а потом сразу “побежал” в Google Search Console и Яндекс.Вебмастер за письмами счастья. Пришло уведомление только от гугла, он оказался очень шустрым, когда не надо. В личном кабинете ожидало сообщение о нарушении безопасности.

Понятно. Далее проверил, что творится в индексе гугла и ужаснулся. Японская вакханалия! Как я дальше узнал, это японский SEO-спам.

С этим все понятно, а что думает на этот счет Яндекс? Да ничего. Вирус, как оказалось, чисто гугловый. Хоть одна хорошая новость. Почему так? Есть отличный сервис, который позволяет смотреть на сайт глазами поискового робота.

Выбираем в параметрах просмотра GoogleBot, пишем в строку адрес любой страницы и получаем результат. Японские иероглифы повсюду. Выбираем робота Яндекса — код выглядит естественным образом. Вот так гугл кроулер видит страницы сайта, хотя внешне (для человеческого глаза) они никак не изменились.

Контент зараженной страницы в глазах поисковика именно таков. По сути это японский дорвей. То есть под видом качественной страницы распространяется вирусная информация. Наш сайт находят по релевантному запросу в поиске (как и должно быть), но поверх качественного контента отображается вредоносная информация. В данном случае, как я уже говорил, это видит только гугловый бот. Для человека и бота яндекса страницы выглядят как обычные.

Этот японский вирус был удален из MODX с помощью утилиты ai-bolit. О работе с данной программой написано далее.

Базовые советы, как предупредить заражение сайта на MODX

Делать резервные копии содержимого сайта.
Следить за подсказками в Яндекс вебмастере и Гугл серч консоли о состоянии безопасности сайта.
Проверять регулярно сайт на наличии вирусов скриптом ai-bolit.
Использовать последние версии патчей для админки и модулей (плагинов).
Следить за новостями безопасности из официального блога.

Меня заразили. Что делать?

Элементарно. Как можно скорее заняться удалением зловредов. Для SEO-продвижения важно устранить проблему до того, как ее обнаружат гугл или яндекс боты. Если вы опередили ботов, то уже хорошо, но времени на исправление все равно немного.

Как мы убедились ранее, процесс лечения сайта сводится к 2-3 шагам.

Поиск и удаление вирусов.
Установка обновлений (патчей), закрывающих уязвимости.
Смена паролей, но в этом не всегда есть необходимость. Зачастую цель вирусных атак — заражение сайта для собственной выгоды, а не для кражи паролей.

Поиск и удаление вирусов. Как лечить?

Выделим 2 самых популярных способа лечения сайта от вирусов. Эти методы рабочие не только для сайтов, построенных на Модиксе, но и для всех остальных.

Скачиваем антивирус ai-bolit для сайтов здесь.
Распаковываем скачанный архив.
Если у вас есть доступ к серверу через SSH:

В отчете могут быть и чистые системные файлы MODX, будьте внимательны

2) Заходим на сервер через ftp по известным ip, login и password при помощи FTP клиента (WinSCP или Filezilla).

Cначала редактировать и только потом копировать файл ai-bolit.php, т.к. после копирования хостинг может заблокировать изменение файла

где сайт - название вашего домена,

пароль - ранее прописанный в файл ai-bolit.php.

5) При успешном переходе по вышеупомянутому адресу начнется сканирование сайта, по окончании которого генерируется отчет. Но скрипт может не выполнить полное сканирование, из-за стандартных ограничений PHP, установленных хостером и вы увидите на экране ошибку с кодом 50x. В этом случае надо найти в панели управления хостингом, где изменить параметры php и расширить параметры memory_limit до 512mb и max_execution_time до 600 сек, при необходимости и возможности ресурсов вашего хостинга задайте большие значения параметров.

6) Также хостер может заблокировать и запись файлов на вашей площадке, т.к. обнаружит активность вредоносных программ. В этом случае обратитесь в техподдержку с подробным описанием проблемы.

После завершения проверки в корне сайта появится файл-отчет вида: AI-BOLIT-REPORT- - .html. Этот файл нужно скачать и открыть в браузере. В этом отчете будут указаны пути ко всем подозрительным файлам, например:
- После очистки следов вируса могут пострадать системные файлы. Это решается установкой свежей версии MODX и затем всех дополнений.
- Если сайт после очистки работает нормально, все равно обновите MODX!
- Не забываем чистить кеш в папке /core/cache/.