Как сканировать сайты на вирусы

Вредоносный код на сайтах обычно делят на две категории:

Народная примета системных администраторов: «нашел вирус — ищи эксплоит». Это логично, так как вирус каким-то образом попал на сайт.

Типичный сайт работает на связке технологий LAMP: Linux+Apache+Mysql+PHP. Согласно официальной статистике, чаще всего это CMS на PHP — WordPress или Joomla!

В каждой из этих CMS есть уязвимости, через которые вредоносный код может попасть на сайт. Уязвимости для WordPress можно посмотреть на сайте WPScan Vulnerability Database, для Joomla! — Joomla! Vulnerable Extensions List.

Кроме этого, вредоносный код может загрузить на сайт сам разработчик или администратор сайта. Это происходит или по небрежности: например, администратор использует пиратских версии CMS/тем/плагинов, не изучив досконально их код. Или человек делает это со злым умыслом: например, клиент не расплатился с разработчиком, и разработчик мстит.

Мы собрали статистику по проблеме вредоносного кода на одном из наших серверов. За 45 дней на сервере во время ежедневного автоматического сканирования было просканировано более 3 млн файлов и найдено около 5 тыс единиц эксплоитов. Среди них не было ни одного, который бы был чистым вирусом:

Может показаться, что 5 тысяч эксплоитов на фоне более 3 миллионов файлов — это немного, меньше 1% зараженных файлов. Но проблема в том, что даже одного эксплоита достаточно, чтобы сайт работал на злоумышленника.

Также по нашим наблюдениям, там, где появился один файл с вредоносным кодом, там их скоро становится больше. Поэтому типичный зараженный сайт содержит 10-20 и более файлов с вредоносным кодом. Перед тем, как просканировать сайт на вредоносный код, нужно обратить внимание на такие характеристики сканера:

• Размер базы сигнатур вредоносного кода;
  
• Частота обновления базы.
  
  

Коммерческие сканеры, как правило, легко дают фору большинству бесплатных. Например, бесплатный антивирус ClamAV, базу сигнатур которого наполняют добровольцы, не может тягаться с крупными игроками на рынке. В том числе и потому, что у любой крупной антивирусной компании есть штат компьютеров, которые используются как приманки для сбора свежих образцов вирусов.

Перечислим категории сканеров для поиска вредоносного кода на сайте:

Часть этих сканеров может лечить сайты. Но как правило, лечение почти всегда сводится к тому, что файлы помещаются в карантин. Так как файлы сайта могут содержать как функциональный код сайта, так и вредоносный код, после лечения сайт может «сломаться».

Поэтому мы сторонники того, чтобы сайт лечил разработчик или команда, в которую входит разработчик. Разработчик знает, как работает сайт, и может исправить проблемы, вызванные перемещением файлов с функциональным кодом в карантин.

В качестве примера мы взяли зараженный сайт и использовали бесплатные или условно бесплатные программы для сканирования вирусов. Результаты сканирования онлайн-сканерами Sucuri, ReScan.pro и PCrisk:

Несмотря на легкость, у онлайн-сканирования есть недостатки:

• Как видно на скриншотах, онлайн-сканер обнаруживает далеко не все образцы вредоносного кода.
• Онлайн-сканеры не могут лечить сайты.

Мы рекомендуем использовать онлайн-сканирование как экспресс-тест. Если онлайн-сканер нашел вредоносный код, дальше можете проверять сайт и лечить его с помощью более продвинутых программ.

Чтобы проверить сайт с помощью антивируса на ПК:

Результаты сканирования того же зараженного сайта при помощи сканера Windows Defender:

Как правило, в базах антивирусов для ПК нет сигнатур, которые определяют эксплоиты, используемые на сайтах. Несмотря на это, рекомендуем использовать антивирус ПК и как экспресс-тест, и как средство первичного лечения.

Если антивирус нашел вредоносный код, используйте его для лечения сайта. После этого проверяйте сайт и лечите его специализированными сканерами для поиска эксплоитов.

Если объем сайта небольшой — до 256 MB, можете воспользоваться агрегатором VirusTotal. Использовать его так же просто, как и остальные онлайн-сканеры — нужно указать, где на ПК находится архив с сайтом и базой.

В нашем случае полный размер сайта был больше 256 MB. Поэтому мы проверили его файлы выборочно. Как видно на скриншоте, Virustotal использовал 58 антивирусных программ для стационарных ПК. В итоге только 19 антивирусов из 58 обнаружили вредоносный код в архиве.

Чтобы пользоваться этими сканерами, нужны технические знания, умение работать с командной строкой Linux и установленные программы/инструменты. Если у вас их нет, вам могут помочь разработчики сайта, сисадмин, техподдержка хостинга или поставщики инструментов сканирования.

Самый универсальный вариант — загрузить код сайта и его базу данных на локальный ПК и сканировать его доступными средствами. В этом случае вы сможете устанавливать и использовать любое ПО без оглядки на хостинг/сервер, на котором размещается сайт.

Предполагается, что на компьютере, на котором будут сканироваться файлы
после скачивания, стоит ОС Linux. В случае сканирования на стороне хостинга/сервера процедура та же — только к хостингу/серверу нужно подключаться по SSH.

Для того, чтобы сканировать файлы сканерами-скриптами, нужен интерпретатор PHP и возможность запускать PHP скрипты из командной строки. Использовать сканеры на основе PHP можно во всех ОС, поддерживающих PHP: Linux/Mac/Windows и других.

Теоретически сканеры-скрипты можно выполнять на сервере с сайтом.Практически часто бывают ограничения:

• Не все хостеры предоставляют доступ по SSH.
  
• На хостинге могут быть ограничения на время выполнения PHP скриптов. Поэтому сканирование может длиться бесконечно.

Для примера мы протестировали условно бесплатный сканер AI-Bolit.

Чтобы просканировать сайт, нужно:

Сканер выводит краткий отчет о результатах сканирования в командной строке и полный в виде HTML документа:

В отличии от онлайн-сканеров, скрипты-сканеры — полноценные инструменты, которые могут тщательно просканировать сайт. Часто это единственный доступный инструмент, которым вы можете просканировать сайт на хостинге.

От имени пользователя root нужно выполнить следующие команды:

• # cd ~
• wget — скачать последнюю версию в текущий каталог;
• tar -xvf maldetect-current.tar.gz — распаковать архив;
• ls -d */ | grep maldetect — узнать, как называется каталог с только что распакованной версией;
• cd maldetect-1.6.2 — перейти в каталог;
• # ./install.sh — запустить установку;

После установки можно выполнять такие команды:

• # maldet -a /path/to/files — просканировать каталог, в котором находится сайт;
• /path/to/files — расположение файлов сайта, который нужно просканировать;
• # maldet --report 180731-2020.1148 — просмотреть отчет о сканировании. Имя отчета находится в выводе команды предыдущей команды.
• # maldet --q 180731-2020.1148 — переместить все файлы из отчета в карантин.

Результаты сканирования зараженного сайта:

Для сравнения: результаты сканирования коммерческим CMS:

Результаты сканирования подопытного сайта тремя сканерами:

• AI-Bolit: 184 вредоносных скриптов;
  
• maldet/LMD: 57 malware hits;
  
• CXS: 65 fingerprints + 10 Viruses.
  
  

Число обнаруженных объектов в отчетах разнится, потому что сканеры используют разные базы сигнатур, терминологию и методики подсчета объектов с вредоносным кодом. Например, AI-Bolit считает вредоносными скриптами мусорные PHP страницы, в том числе doorway pages, хотя в них нет вредоносного кода. А maldet/LMD и CXS — нет.

После того, как вы обнаружили вредоносный код и, возможно, перенесли его в карантин, нужно подумать о лечении сайта.

Один из самых надежных способов: восстановить все файлы, которые содержали вредоносный код, из архива, сделанного до заражения сайта. Это хороший вариант только если вы уверены, что после создания архива в файлы сайта не вносили изменения.

После тестирования мы увидели, что ни один из инструментов не может гарантированно и автоматически восстановить сайт до состояния, в котором он был до взлома. Поэтому только сотрудничество с разработчиком, восстановление файлов и содержимого базы данных из резервных копий может дать вам какие-то гарантии.

Также на этапе лечения разработчики сайта должны найти, как вредоносный код попал на сайт. Некоторые инструменты могут помочь с информацией об уязвимостях. Например, утилита AI-Bolit сообщает об известных ей уязвимостях в узком спектре известного ей ПО. CXS дает информацию обо всех известных ему устаревших версиях ПО.

После того, как вы удалили вредоносный код с сайта, примите меры предосторожности:

Нет идеального продукта, который бы был бесплатный, удобный, находил бы все образцы вредоносного кода, лечил сайт и работал бы на всех серверах. Но если использовать комбинацию из нескольких пунктов — использовать сканер, регулярно создавать резервные копии и обновлять CMS, — можно решить почти все проблемы с вредоносным кодом на сайте.

Чтобы обнаружить вредоносный код на сайте, необходимо просканировать файлы и базу данных сайта при помощи одного или нескольких инструментов:

• антивирусов (или агрегатором Virustotal);
  
• специализированных сканеров (Ai-Bolit, Linux Malware Detect, ConfigServer eXploit Scanner).
  
  

Для экспресс-сканирования можно воспользоваться онлайн-сканерами (Rescan.pro, Sucuri, PCrisk). После восстановления сайта (в случае заражения) — найти способ, как вредоносный код попал на сайт и, если причина заключается в устаревших CMS и плагинах, — обновить их.