Бұзылған интернет-дүкенді аудиттеу және тазарту: 14 бэкдор, бұзудың бес толқыны, RCE осалдығы екі күнде жабылды

Тапсырыс беруші

Joomla негізіндегі металл прокаты интернет-дүкені. Құпиялылық туралы келісімге сәйкес компанияның атауын жария етпейміз. Сайт SSH арқылы қол жеткізу мүмкіндігі жоқ виртуалды хостингте орналасқан, CMS пен PHP көптен бері жаңартылмаған.

Міндет

Хостинг зиянды файлдар туралы бірнеше рет хабарлама жіберді, хостердің штаттық сканерлері бірдеңе тауып, жойып отырды, бірақ зақымдану қайталана берді. Иесі сайттың қалай бұзылып жатқанын түсініп, жаңа платформаға көшпей-ақ зақымданудан арылғысы келді.

Не істедік

• Екі айдағы қол жеткізу журналдарын (access log) талдап, хронологияны қалпына келтірдік: әртүрлі топтар жасаған бес тәуелсіз бұзу, бәрі бет конструкторы кеңейтіміндегі кодты қашықтан орындаудың бір ғана осалдығы арқылы жасалған (2026 жылғы CVE, шабуылдаушы жария эксплойтты пайдаланған).
• 14 бэкдор таптық — хостер сканерлері оларды өткізіп алған. Файлдар .json кеңейтімі бар деректер болып бүркемеленген және сайт каталогында ғана емес, аккаунттың үй каталогында да жатқан: кэш, үлгілер, уақытша қалталар.
• Жүйеде бекіну белгілерін тексердік: бөгде әкімшілер, жоспарлағыш тапсырмалары, SSH-кілттер және дерекқордағы код табылған жоқ. Аккаунттағы көрші сайттар таза.
• Екі кезеңмен тазарттық: алдымен жойылатын файлдар тізімін шығаратын сынақ іске қосу, содан кейін иесінің растауымен карантинге көшіру. CMS-тің штаттық криптокітапханасына қатысты жалған дабылдарды қолмен алып тастадық.
• Шабуыл векторын жаптық — веб-сервер деңгейіндегі ережемен: осал жүктеу әдісіне жасалған сұраулар 403 кодын алады. Эксплойт-URL мен кәдімгі беттерді тексердік. Келушілер өзгерісті байқаған жоқ.
• Есепті тапсырдық: хронология, логтардан алынған дәлелдер, файлдар тізімі, CMS пен PHP-ді жаңарту жөніндегі ұсынымдар.

Нәтиже

Сайт тоқтатылмай тазартылды, осалдық жабылғаннан кейін қайта зақымдану болған жоқ. Иесі дәлелдемелік база мен одан арғы қадамдар жоспарын алды: платформаны жаңарту және тұрақты сканерлеу.

Бұл кейс нені үйретеді

Хостингтің штаттық антивирустары белгілі сигнатураларды іздейді және «орындалмайтын» кеңейтімі бар бэкдорларды көрмейді. Логтарды талдамаса, тазарту симптомдарды шексіз жоюға айналады. Тәсіл туралы толығырақ: қауіпсіздік аудиті және осалдықтарды басқару.