Investigar uma possível infeção através de credenciais FTP

Uma intrusão pode adicionar JavaScript, iframe, portas traseiras ou páginas de phishing a muitos ficheiros. Os navegadores e os motores de pesquisa podem emitir avisos sobre o site quando detetam conteúdo perigoso.

O aspeto dos ficheiros não permite saber como o atacante entrou. Antes de o atribuir ao FTP, conserve e reveja os registos de acesso, as datas de modificação e as contas existentes. Também devem ser investigadas vulnerabilidades da aplicação, utilizadores administradores, tarefas agendadas e outros acessos ao alojamento.

Se os registos mostrarem um início de sessão FTP válido e não reconhecido, considere essa credencial comprometida. Conserve o registo e revogue ou restrinja esse acesso quanto antes a partir de um equipamento fiável. Analise também os equipamentos a partir dos quais era utilizada; não espere pelo fim dessa análise para conter um acesso ativo.

Conselhos de segurança

1. Use SFTP quando estiver disponível e elimine as contas FTP de que não precise.
2. Atribua uma palavra-passe longa, única e diferente a cada conta; guarde-a num gestor de palavras-passe fiável.
3. Mantenha atualizados o sistema, o navegador e o cliente de transferência, e analise o equipamento com a respetiva solução de segurança.
4. Depois de proteger o equipamento, altere a credencial FTP confirmada como exposta e qualquer outra que tenha sido reutilizada ou possa ter ficado acessível ao atacante.
5. Limpe toda a conta, corrija a via de entrada e reveja os registos posteriores. Alterar a palavra-passe não elimina o malware que já tenha sido instalado.

Que dados ajudam a confirmá-lo

Relacione utilizador, IP, data e fuso horário do acesso com os ficheiros afetados. Um acesso bem-sucedido não mostra necessariamente que ficheiro foi alterado, e uma data de modificação pode ser alterada. Correlacione vários sinais e não atribua o incidente apenas ao país de um IP.

Distinga uma conta FTP adicional da credencial principal do alojamento. Se alterar a palavra-passe principal, atualize os acessos legítimos que dependam dela; se houver chaves SSH, revogue-as separadamente quando estiverem expostas. O SFTP cifra a ligação, mas não impede o uso de uma credencial que já tenha sido roubada.