كيف تعرف إن كان في موقعك برمجيات خبيثة؟

البرمجيات الخبيثة في الموقع شيفرة أضافها أحدهم إلى ملفات موقعك أو قاعدة بياناته. وهي لا تهاجم حاسوبك أنت كما قد يفعل مرفق في رسالة بريد. إنها تعمل على زوارك: ترسلهم إلى عمليات احتيال، أو تعرض تحذيرات مزيفة، أو تلتقط ما يكتبونه في النماذج، أو تستخدم موقعك لإرسال الرسائل المزعجة.

يستغرق الفحص نحو ربع ساعة. فيما يلي أربع خطوات، أبسطها أولًا، وخطة لما تفعله إن وجدت شيئًا.

علامات تلاحظها دون أدوات

قبل أن تفتح أي أداة، فكّر هل حدث شيء من هذا:

• أخبرك عميل أن فتح موقعك نقله إلى سحب على جوائز، أو متجر مزيف، أو رسالة تقول إن هاتفه مصاب بفيروس،
• البحث في Google عن site:yourdomain.com يعرض صفحات لم ينشئها أحد في شركتك، مثل إعلانات حبوب أو نصوص باليابانية،
• يعرض المتصفح تحذيرًا أحمر قبل أن يسمح للناس بالدخول،
• علّقت شركة الاستضافة الحساب أو راسلتك بشأن ملفات خبيثة،
• بدأ البريد المرسل من نطاقك يصل إلى مجلد البريد المزعج،
• ظهر في لوحة تحكم WordPress مدير لا تعرفه.

غياب العلامات لا يعني أن الموقع نظيف. الشيفرة الخبيثة كثيرًا ما تُظهر نفسها لبعض الزوار فقط، مثل من يتصفح بالهاتف ويصل من Google. والمدير المسجل دخوله لا يرى شيئًا في العادة. وتجد المزيد عن هذه العلامات في مقال علامات اختراق موقعك.

الخطوة 1: Google Safe Browsing

افتح صفحة حالة المواقع في Google Safe Browsing وأدخل عنوانك. يخبرك Google هل يعدّ الموقع غير آمن. ويستخدم Chrome وعدة متصفحات أخرى القائمة نفسها، فإن كان موقعك فيها، يرى عملاؤك تحذيرًا.

والحد هنا: القائمة لا تعرض إلا ما وجده Google بالفعل. والإصابة الحديثة قد لا تكون فيها بعد.

الخطوة 2: Google Search Console

إن كان لديك Search Console، فافتح تقرير Security issues، أي مشكلات الأمان. يعرض Google هناك المحتوى المخترق (الشيفرة المحقونة، والمحتوى المحقون، والعناوين المحقونة)، والبرمجيات الخبيثة، والصفحات التي تحاول خداع الزوار. ويعطي عادة أمثلة لعناوين، ومنها تبدأ البحث.

وحين تزول المشكلة تطلب المراجعة من التقرير نفسه. وكيف يتم ذلك تجده في مقال ماذا تفعل حين يقول Google إن موقعك خطير.

وإن لم يكن لديك Search Console، فاطلب ممن يدير موقعك أن يضيفك مالكًا. يحتاج ذلك إلى سجل في DNS أو ملف على الخادم، وهو مجاني.

الخطوة 3: فحص من الخارج

أداة الفحص عبر الإنترنت ترى الموقع كما يراه الزائر. ومن بين أكثر من 20 فحصًا يجريها ShieldWave، ينظر إلى ما يلي:

• هل النطاق في قوائم التهديدات: Google Safe Browsing وURLhaus وقوائم الحظر في DNS مثل Spamhaus،
• هل تحوي شيفرة الصفحة الرئيسية إطارات مخفية، أو تحويلات مشبوهة في البرامج النصية، أو شيفرة مموّهة تُشغَّل عبر eval،
• هل تحمّل الصفحة برامج نصية من عناوين IP مجردة أو من خوادم معروفة بأنها خبيثة،
• هل يعمل في الصفحة برنامج لتعدين العملات المشفرة،
• هل ترسل النماذج البيانات إلى خادم غريب،
• هل على الخادم ملفات يستطيع أي شخص تنزيلها، مثل نسخة احتياطية من الموقع.

والحد هنا: أداة الفحص ترى ما يرسله إليها الموقع. الشيفرة التي لا تُظهر نفسها إلا لزوار الهاتف القادمين من Google، أو الباب الخلفي المخفي في ملف PHP دون أي أثر في الصفحة، قد تبقى غير مرئية. ولهذا الخطوة الرابعة.

الخطوة 4: فحص من الداخل

تستطيع فحص الملفات على الخادم بطريقتين. كثير من شركات الاستضافة لديها أداة لفحص الملفات في لوحة التحكم، عادة ضمن إعدادات الأمان. وفي WordPress أضف إضافة أمان تقارن ملفاتك بالبصمات الرسمية (checksums) من WordPress.org، وتبحث عن ملفات PHP في مجلد الرفع (uploads)، وعن مديرين جدد، وعن رسائل مزعجة محقونة في المقالات.

وكيف تختار واحدة تجده في مقال إضافة أمان مجانية لـWordPress: ماذا يجب أن تفحص.

كيف تصل البرمجيات الخبيثة إلى الموقع

معرفة ذلك تساعد في التنظيف، لأن الطريق نفسه يجب أن يُغلق بعده. وفي مواقع الشركات الصغيرة تتكرر أربعة طرق:

• إضافة أو قالب قديم فيه ثغرة معروفة. تفحص الروبوتات أعدادًا هائلة من المواقع بحثًا عن إصدارات محددة، وتدخل حيث لم يحدّث أحد.
• كلمة مرور مسروقة أو مخمَّنة. للوحة تحكم WordPress أو FTP أو الاستضافة، وكثيرًا ما تكون كلمة مرور مستخدمة في خدمة أخرى أيضًا.
• إضافة أو قالب من مصدر مقرصن. الإضافات المدفوعة المعروضة «مجانًا» في مواقع عشوائية تأتي أحيانًا ومعها باب خلفي.
• جار على الخادم نفسه. في الاستضافة المشتركة الرخيصة، قد يصل موقع مصاب لعميل آخر إلى ملفاتك إن كانت إعدادات الخادم سيئة.

ومعالجة الأعراض دون إغلاق طريق الدخول تنتهي عادة بالمشكلة نفسها بعد بضعة أيام.

ماذا تفعل أولًا حين تجد شيئًا

1. لا تحذف شيئًا عشوائيًا. اطلب أولًا من شركة الاستضافة أو المطوّر نسخة من الموقع كما هو الآن. تساعد في فهم ما حدث ومنذ متى.
2. غيّر كلمات المرور. للوحة تحكم WordPress، والاستضافة، وFTP، وقاعدة البيانات، وصناديق البريد على نطاقك. واحذف حسابات المديرين التي لا تعرفها.
3. دوّن ما تراه. صور الشاشة، والتواريخ، وعناوين الصفحات المشبوهة، ونص رسائل العملاء.
4. أخبر شركة الاستضافة. لديها غالبًا أدوات وسجلات لا تصل إليها أنت.
5. فكّر في قوانين حماية البيانات. إن كان الموقع يجمع بيانات شخصية، عبر نموذج أو متجر مثلًا، وربما تسربت تلك البيانات، فاللائحة العامة لحماية البيانات (المادة 33) تمنحك 72 ساعة من علمك بالانتهاك لإبلاغ السلطة الرقابية. ولدول أخرى قواعدها الخاصة، فتحقق من القاعدة التي تنطبق عليك.

متى تستدعي المطوّر

فورًا إن صح أي مما يلي:

• الموقع يقبل المدفوعات أو يجمع بيانات العملاء،
• Google أو المتصفح يحذّر الزوار،
• حظرت شركة الاستضافة الحساب،
• تعود الشيفرة الخبيثة بعد حذفها، وهذا يعني عادة بابًا خلفيًا لم يجده أحد بعد،
• لا تعرف أي الملفات تغيّرت.

حذف ملف واحد نادرًا ما يكفي. التنظيف المعتاد يعني استعادة الموقع من نسخة احتياطية نظيفة من قبل الإصابة، وتحديث كل شيء، وتغيير كلمات المرور، ومعرفة كيف دخل المهاجم. أعطِ مطوّرك قائمة العلامات والتواريخ ونتائج الفحص. ويتضمن تقرير ShieldWave الكامل وصفًا للمهمة يستطيع المطوّر تسعيره فورًا.

افحص موقعك. أدخل عنوانك في shieldwave.io. يستغرق الأمر نحو 90 ثانية، ولا يحتاج إلى كلمة مرور ولا إلى حساب.