Gdy myślimy o ataku na stronę internetową, zwykle wyobrażamy sobie komunikat hakera, usunięte dane albo całkowicie niedziałającą witrynę. W praktyce przejęta strona może przez długi czas wyglądać zupełnie normalnie. Atakującemu może zależeć właśnie na tym, aby właściciel niczego nie zauważył.
Czy strona naprawdę może „kopać” kryptowaluty?
Tak, choć warto od razu doprecyzować, co to oznacza.
Złośliwy kod może wykorzystywać zasoby serwera albo urządzenia osoby odwiedzającej witrynę do wykonywania obliczeń związanych z kryptowalutami. Takie działanie określa się często jako cryptojacking.
Nie oznacza to, że każda zainfekowana strona automatycznie zamienia się w klasyczną „koparkę kryptowalut”. Jest to po prostu jeden ze sposobów, w jaki ktoś może próbować wykorzystać cudze zasoby obliczeniowe bez wiedzy ich właściciela.
Dlaczego właściciel strony może długo niczego nie zauważyć?
Skuteczny atak nie musi niszczyć strony. Wręcz przeciwnie — pozostawienie jej działającej może być korzystniejsze dla osoby, która uzyskała do niej nieautoryzowany dostęp.
Witryna nadal wyświetla ofertę, formularze mogą działać, a właściciel loguje się do WordPressa tak jak wcześniej.
Jednocześnie w tle może znajdować się dodatkowy kod albo proces wykonujący niepożądane operacje.
Dlatego brak widocznego komunikatu o błędzie nie jest dowodem na to, że ze stroną wszystko jest w porządku.
Skąd może się wziąć taki kod?
Dróg prowadzących do infekcji jest wiele. W przypadku WordPressa szczególną uwagę warto zwrócić na cały ekosystem strony, a nie tylko na sam system CMS.
Problem może być związany między innymi z:
- nieaktualną wtyczką zawierającą podatność,
- starym lub niewspieranym motywem,
- przejętym hasłem do panelu albo hostingu,
- niepotrzebnym rozszerzeniem pozostawionym na serwerze,
- zmodyfikowanym plikiem WordPressa,
- złośliwym kodem dodanym do motywu lub wtyczki,
- niewłaściwie zabezpieczonym środowiskiem hostingowym.
Dlatego bezpieczeństwa WordPressa nie da się sprowadzić do zainstalowania jednej „wtyczki zabezpieczającej”.
Jakie mogą być objawy?
Nie istnieje jeden charakterystyczny symptom oznaczający cryptojacking. Podobne objawy mogą mieć również zupełnie inne przyczyny techniczne.
Warto jednak zainteresować się sytuacją, gdy pojawia się:
- niespodziewanie wysokie wykorzystanie procesora serwera,
- wyraźne spowolnienie strony bez oczywistej przyczyny,
- przekraczanie limitów hostingu,
- nietypowe procesy albo zadania wykonywane w tle,
- nieznane pliki w instalacji WordPressa,
- zmodyfikowane pliki motywu lub wtyczek,
- nietypowy ruch wychodzący z serwera,
- problemy, które po pewnym czasie same znikają i ponownie wracają.
Każdy z tych symptomów może mieć niewinne wyjaśnienie. Dopiero ich analiza pozwala ustalić, czy mamy do czynienia z błędem konfiguracji, przeciążeniem, źle działającą wtyczką czy rzeczywistym incydentem bezpieczeństwa.
Serwer czy komputer osoby odwiedzającej stronę?
To ważne rozróżnienie.
W jednym scenariuszu złośliwy kod może próbować wykorzystywać zasoby serwera, na którym znajduje się strona. W innym odpowiedni skrypt może być uruchamiany w przeglądarce osoby odwiedzającej witrynę i obciążać jej komputer.
Dla właściciela strony oba przypadki są poważne, ale wymagają innego sposobu diagnostyki.
Dlatego samo stwierdzenie „strona zużywa dużo procesora” jeszcze nie wystarcza do postawienia diagnozy.
Cryptojacking nie jest jedynym zagrożeniem
To właściwie najważniejsza część tego tematu.
Jeżeli ktoś uzyska możliwość wykonywania własnego kodu w ramach strony, kopanie kryptowalut jest tylko jednym z możliwych zastosowań takiego dostępu.
Zainfekowana witryna może zostać wykorzystana również do:
- wysyłania spamu,
- przekierowywania użytkowników na inne strony,
- wyświetlania niechcianych treści lub reklam,
- tworzenia ukrytych podstron,
- prób wyłudzania danych,
- wykorzystywania zasobów serwera do innych operacji.
Z punktu widzenia właściciela strony problemem nie jest więc sama kryptowaluta. Problemem jest utrata kontroli nad tym, co faktycznie wykonuje jego witryna.
Dlaczego WordPress pojawia się często w takich rozmowach?
Nie dlatego, że WordPress z definicji jest niebezpieczny.
Jest niezwykle popularny, a typowa instalacja składa się z WordPressa, motywu oraz wielu rozszerzeń pochodzących od różnych producentów. Każdy z tych elementów jest oprogramowaniem, które trzeba utrzymywać.
Ryzyko rośnie szczególnie wtedy, gdy na stronie pozostają przez lata stare wtyczki, nieużywane motywy i rozszerzenia, których autorzy zakończyli rozwój.
Dlatego tak istotne są regularne aktualizacje i kontrola tego, co faktycznie znajduje się w instalacji.
Co zrobić, gdy strona nagle zaczęła mocno obciążać serwer?
Nie warto od razu zakładać włamania. Wysokie obciążenie może powodować również wadliwa wtyczka, intensywne zadanie cron, boty, błędne zapytania do bazy danych albo gwałtowny wzrost prawidłowego ruchu.
Najpierw trzeba ustalić co rzeczywiście zużywa zasoby.
W praktyce analiza może obejmować między innymi logi serwera, zmienione pliki, zadania wykonywane w tle, aktywne rozszerzenia, ruch sieciowy i zachowanie aplikacji.
Dopiero na tej podstawie można zdecydować, czy potrzebna jest optymalizacja, naprawa błędu czy działania związane z bezpieczeństwem.
A jeśli znajdziemy złośliwy kod?
Samo usunięcie podejrzanego fragmentu może nie wystarczyć.
Trzeba jeszcze ustalić, w jaki sposób znalazł się na stronie. Jeżeli pozostawimy pierwotną przyczynę — podatną wtyczkę, przejęte konto albo inny słaby punkt — problem może szybko powrócić.
Po incydencie istotne jest więc nie tylko oczyszczenie witryny, ale również zamknięcie drogi, którą wykorzystano do uzyskania dostępu.
Najlepszym zabezpieczeniem nie jest ciągłe podejrzewanie ataku
Nie ma sensu traktować każdego spowolnienia strony jako próby włamania. Takie podejście prowadziłoby do niepotrzebnego alarmizmu.
Znacznie rozsądniejsze jest utrzymywanie strony w stanie, w którym łatwiej odróżnić normalne zachowanie od rzeczywistej anomalii.
Pomagają w tym regularne aktualizacje, kopie zapasowe, ograniczenie liczby niepotrzebnych rozszerzeń, kontrola błędów i okresowe sprawdzanie kondycji witryny.
Czy warto sprawdzić starszą stronę?
Jeżeli witryna działa od kilku lat, przeszła wiele aktualizacji, ma kilkanaście lub kilkadziesiąt wtyczek albo nie wiadomo dokładnie, kto i kiedy ją modyfikował, kontrola jej obecnego stanu może mieć sens nawet wtedy, gdy nie występuje widoczna awaria.
Nie chodzi o szukanie zagrożeń na siłę. Chodzi o odpowiedź na prostsze pytanie: czy wiemy, co obecnie znajduje się na stronie i czy wszystkie te elementy są nadal potrzebne, aktualne i działają prawidłowo?
Nie każdy problem oznacza włamanie. Najpierw warto ustalić, co naprawdę dzieje się ze stroną.
Jeżeli witryna zaczęła działać wolniej, generuje nietypowe obciążenie albo po prostu od dawna nie była technicznie sprawdzana, możemy zacząć od krótkiej oceny jej obecnego stanu.