Son zamanlarda web sitesi sahiplerinin en büyük problemi sitelerine bulaşan virüsler oldu. Ağırlıklı olarak 2009 yılında artmaya başlayan ve 2009 yılının 2. yarısında patlama yaşayan iframe (ifreym şeklinde okunmaktadır) virüsleri, sitenizde yazılan kullanıcı şifreleri ve kredi kartı verilerini toplamaktadır. Iframe virüsleri ile ilgili olarak hazırladığımız makalenin tamamını yada en azından sizi ilgilendiren başlıkları mutlaka okuyunuz.

Iframe Virüsü Nedir?

Tüm iframe virüslerinin ortak özelliği sitenizin dosyalarına temel html kodu olarak yerleşirler. Bu ortak özellikleri sebebiyle "iframe virüsü" şeklinde bilinmektedirler. Saldırganlar iframe yöntemini kullanarak sizin sitenize kendi kodlarını eklerler ve sitenizden veri çekmede kullanırlar. Iframe virüsleri her dosyaya bulaşmaz. Bulaştıkları tespit edilen dosyalar index.html, index.php, index.asp, default.asp, default.aspx gibi anasayfa dosyaları ve login.php, account.php gibi açık kaynak kodlu çoğunlukla var olan sayfalardır.

Iframe Virüsü Nasıl Bulaşır?

Sitenize iframe virüsü bulaşırsa ilk olarak FTP şifrenizi değiştiriniz. Iframe virüslerinin bulaşma şekli ile ilgili olarak bilinen bir kaç yöntem vardır. Bunları özetle anlatacak olursak:

- Bilgisayarınıza bulaşmış olan bir zararlı yazılım

Daha önce internetten indirdiğiniz bir program bilgisayarınızda kayıtlı ftp şifrelerini bularak yada siz girdiğinizde kaydederek virüsü dağıtan saldırgana ulaştırabilir. Hatta bazı virüsler doğrudan tarayıcınıza yerleşerek girdiğiniz her türlü veriyi toplayabilmektedir.

- Kötü amaçlı DNS'ler

Telekomünikasyon Kurumu'nun internet sitelerini yasaklamaya başlaması ve gündelik hayatın vazgeçilmezlerinden olan pek çok sitenin yasaklı siteler arasına girmesiyle herkes bu yasağı delmenin yolunu aramaya başladı. Bu yollar arasında en kolayı ve etkilisi "DNS değiştirme" yöntemi oldu. Bu yöntem beraberinde başka tehlikeleri de getirdi. Bazı kötü amaçlı DNS sunucular çok hızlı ve başarılı olmalarının yanında kullananların gizli verilerini de toplamaktadırlar. Eğer yasak sitelere girmek için DNS değiştiriyorsanız ve sitenize sıklıkla virüs giriyorsa kötü amaçlı bir DNS kullanıyor olabilirsiniz. OpenDNS kullanabileceğiniz hızlı ve güvenilir DNS adreslerindendir.

- Tahmin edilmesi kolay FTP şifresi

FTP şifrenizin kolay olması da iframe virüslerinin bulaşma ihtimalini arttırır. Saldırganlar küçük bir programla rasgele şifre denemeleri yaparak şifrenizi bulmaya çalışır. Eğer kolay bir şifreniz varsa bu risk daha yüksektir.

- Hatalı yazma izinleri

Web sitelerinin düzgün çalışabilmesi için bazı dosyaların güvenlik ayarları daha düşük olmalıdır. Özellikle açık kaynak kodlu CMS sistemlerinde (portal, forum, blog vs.) bazı dosya ve klasörlerine tam yazma izni verilmesi gerekir. Yazma izinlerini tek tek değiştirmek biraz zaman alıcı ve sıkıcı geldiği için site sahipleri tüm dosyalara yazma izni verip bu sıkıntıdan kurtulmak ister. Ancak bu sistemin güvenliğini en alt seviyeye indirir ve kötü amaçlı kişiler tarafından saldırıya açık hale gelirler. Bu yüzden sadece gereken dosya yada klasörlere izin verip, diğerlerine sadece Okuma (Read) izni verilmelidir.

Iframe Virüsü Nasıl Temizlenir?

Iframe virüslerinden kurtulmanın 2 yolu vardır.

- Kaynak dosyaları sitedekilerin üzerine yazdırmak

Eğer bilgisayarınızda sitenize ait temiz dosyalar varsa onları FTP üzerinden sunucuya yükleyerek virüsleri temizleyebilirsiniz. Burada dikkat edilmesi gereken ftp'den dosyalar aktarılırken en başta sorulan "varolan dosyaları değiştirmek istiyor musunuz?" sorusuna "Evet", "Varolan dosyaların üzerine yaz" gibi dosyaların değiştirilmesini sağlayacak cevaplar verilmesidir. Açık kaynak kodlu sistemlerde kaynak kodlar elinizde yoksa bile internetten bulabilirsiniz. Dikkat etmeniz gereken sitenizin sürümü ile yükleyeceğiniz sürümün aynı olmasıdır. Yani eğer siteniz Joomla 1.5.13 sürümü ise yükleyeceğiniz dosyalar da 1.5.13 olmalıdır. Aksi halde sisteminiz bozulabilir. Bu tür açık kaynak kodlu sistemlerde veriler veritabanında saklandığından dosyalar değişince site bozulmaz. Ancak dosyaları silmeden üzerine yazdırmanız gerektiğini gözden çıkarmayınız. Virüsleri tam olarak temizlemek için temalar, modüller gibi tüm dosyaların üstüne yazdırılması gerekmektedir. Eğer sitenizde henüz virüs yoksa en kısa zamanda tüm dosyalarınızı bilgisayarınıza indirin ve bir kenarda saklayın. Virüs girmesi durumunda doğrudan bunları ftp alanına yüklemeniz sayesinde tüm virüsler silinecektir.

- Virüslü kodların bulunması ve temizlenmesi

Diğer yöntem ise doğrudan virüslerin temizlenmesi yöntemidir. Bu yöntem biraz daha uzmanlık isteyen bir yöntemdir. Eğer ne yaptığınızı bilmiyorsanız kendiniz yapmayınız. Bu işlem için öncelikle sitenizin tüm dosyalarını bilgisayarınıza indirmeniz gerekmektedir. Ayrıca dosya içeriklerinde arama yapabilen ve istenilen bölümlerin topluca değiştirilmesini sağlayan bir programa da ihtiyacınız vardır. Iframe virüslerinin ortak yönünün bir html etiketi olan iframe'i kullanıyor olmaları olduğunu söylemiştir. Sitenizin tüm dosyalarının bulunduğu klasörde toplu içerik tarama yapmanızı sağlayan programı kullanarak "<iframe" kelimesini (sadece tırnak içi) arattığınızda <iframe ile başlayan tüm kodlar gösterilir. Sonuçları incelediğinizde;

benzeri bir kod görürseniz işte bu sitenizdeki virüstür. page=321432 gibi olan kısım sitenizin farklı yerlerinde farklı bir sayı olabilir. O yüzden o kısmı aramaya dahil etmemeniz daha başarılı bir arama yapmanızı sağlar. siteadi.com sizin bilgilerinizi toplayan sitenin adresidir. Bu virüsleri bulduktan sonra yine toplu düzenleme sağlayan programı kullanarak dosyalarınızdaki tüm virüslü kodları sildirmeniz gerekir. Tüm virüsleri temizledikten sonra bu dosyaları tekrar FTP alanınıza yüklemeniz gerekmektedir.

Bazı toplu tarama programları: Adobe Dreamwaver, Advanced Find&Replace, GrepWin

Iframe virüsü temizlendikten sonra

Virüs temizlendikten sonra son bir işlem daha yapmanız gerekebilir. Eğer sitenize girildiğinde Firefox yada Google Chrome tarayıcılarında Saldırgan Site uyarısı çıkıyorsa Google Webmaster Aracını kullanarak sitenizin temizlendiğini Google'a bildirmelisiniz. Bu işlemden sonra ortalama 1 gün içerisinde siteniz normale dönecektir. Eğer henüz saldırgan site olarak işaretlenmemişseniz yapmanız gereken bir işlem yoktur.

Sonuç

Iframe virüsleri son zamanların en büyük problemidir ve tüm site sahipleri etkilenmektedir. Iframe virüsleri ile ilgili yanlış bilinen bir konu hostinginizdeki bir başka siteden virüsün bulaşmasıdır. Iframe virüsleri normal bilgisayar virüsleri gibi sunucuyu etkisi altına almaz. Sadece ftp bilgileri bilinen yada yanlış yazma izinleri olan siteye bulaşabilir.

GarantiServer sunucularında bulunan aktif virüs korumaları pek çok iframe virüsünü bulup, virüslü dosyayı silmektedir. Bunun sizin açınızdan tek avantajı virüs silindiği için Google tarafından saldırgan site olarak mimlenmemenizdir. Ancak virüslü dosya sitenizin açılış sayfası ise antivirüs tarafından silineceği için siz dosyayı tekrar yükleyene kadar siteniz açılmayacaktır.