После атаки на Бегет (Beget): какие пароли сменить и как проверить сайт на чужие файлы — чек-лист

После атаки на хостинг Бегет (Beget) 2 ноября компания советует клиентам сменить пароли. Дословно: «клиентам всё равно стоит сменить пароли, ключи доступа и другие учётные данные, которые хранились на серверах». При этом, по словам Beget, на серверах с данными пользователей не было попыток скачать или изменить эти данные. Поэтому паниковать не нужно, но сменить доступы стоит — это дешевле, чем потом разбираться с чужим администратором на сайте.

Ниже — что менять, в каком порядке и как после возвращения сайта самому проверить, что на нём нет ничего лишнего.

Какие пароли сменить

Идите по списку сверху вниз. Если чего-то у вас нет — пропускайте.

1. Пароль от аккаунта Beget. Основная панель cp.beget.com на 6 ноября всё ещё отвечает ошибкой 502 — смените пароль, как только она заработает. Если в аккаунте была включена двухфакторная защита, проверьте, что она на месте. 2. Почтовые ящики на домене. Веб-почта Beget работает: webmail.beget.ru. Смените пароль каждого ящика, затем обновите его в почтовых программах и на телефоне. 3. FTP и SSH. Пароли FTP-аккаунтов и пользователя SSH. Если заходили по ключу — удалите из файла ~/.ssh/authorized_keys все ключи, которых не узнаёте. 4. Базы данных (MySQL). Смените пароль пользователя базы и сразу впишите новый в настройки сайта, иначе сайт перестанет открываться: - WordPress — файл wp-config.php, строка DB_PASSWORD; - Битрикс — bitrix/.settings.php и bitrix/php_interface/dbconn.php; - другие CMS — файл настроек подключения к базе. 5. Администраторы сайта. Пароли всех, кто входит в админку: WordPress, Битрикс, Tilda-интеграции, интернет-магазин. 6. Ключи и токены в настройках сайта. Всё, что хранилось в файлах сайта или в его базе: ключи платёжных систем (например, ЮKassa), пароли SMTP для отправки писем, токены Telegram-ботов, ключи API карт и CRM. Их выпускают заново в личных кабинетах этих сервисов и меняют в настройках сайта.

Как проверить сайт, когда он вернётся

Beget пишет, что перед запуском вручную проверяет каждый сервер на уязвимости и вредоносные скрипты. Свою часть стоит проверить и самому — это займёт полчаса.

Чужие администраторы. - WordPress: «Пользователи» → фильтр «Администратор». Всех, кого не знаете, удалите. В профиле каждого проверьте раздел «Пароли приложений». - Битрикс: «Настройки» → «Пользователи» → группа «Администраторы».

Недавно изменённые файлы. Если есть доступ по SSH, в папке сайта выполните:

find . -type f -name "*.php" -mtime -7

Команда покажет PHP-файлы, изменённые за последнюю неделю. Если вы сами ничего не правили, каждый такой файл — повод присмотреться.

PHP-файлы там, где их быть не должно. В папках с картинками и загрузками PHP-файлов быть не должно:

find wp-content/uploads -name "*.php"

Типичные признаки вредоносного кода:

grep -rl --include=*.php -e "eval(base64_decode" -e "gzinflate(base64_decode" -e "str_rot13(" .

Совпадение не всегда значит заражение — некоторые плагины так устроены. Но файл с непонятным кодом в одну длинную строку — повод сравнить его с оригиналом из дистрибутива CMS.

Переадресации. Откройте файл .htaccess в корне сайта и проверьте, нет ли там переадресаций на чужие адреса. Зайдите на сайт с телефона через мобильный интернет — вредоносные переадресации часто срабатывают только для мобильных посетителей.

Задания по расписанию. Когда заработает панель Beget, проверьте раздел с заданиями CRON: нет ли там незнакомых команд.

Обновления. Обновите CMS, тему и все плагины до последних версий. Для WordPress можно запустить проверку бесплатным плагином безопасности, для Битрикса — встроенным сканером безопасности.

Чтобы следующий сбой прошёл легче

• Держите копию сайта и базы вне хостинга — у другого провайдера или у себя. Beget потерял копии VPS вместе с самими VPS: копия у того же провайдера, которой управляет та же система, не спасает.
• Храните пароли в менеджере паролей, а не в файле на рабочем столе — тогда сменить их все после такого случая можно за вечер.
• Знайте, где у вас домен и почта. Если домен у регистратора, а почта у Яндекса или Mail.ru, сбой хостинга выключает только сайт.

Пока сайт не вернулся, следить за ним можно через бесплатный бот @rebornlab_bot: он проверяет сервер и сайт каждые 10 минут и сразу пишет, когда сайт заработает. С 6 ноября бот также показывает, где обслуживается почта домена. Как восстанавливается Бегет в целом — на странице rebornlab.ru/beget.