Дефейс сайта (website defacement) — атака, при которой злоумышленники изменяют видимое содержимое веб-сайта, как правило заменяя его страницы своими сообщениями, изображениями или пропагандой.
Как происходит дефейс
Чтобы изменить сайт, атакующим нужен доступ на запись к его содержимому или файлам. Типичные пути:
- эксплуатация уязвимостей в системах управления контентом и их плагинах, например в устаревших WordPress, Joomla или Drupal;
- уязвимости внедрения, такие как SQL-инъекция или внедрение кода, с последующей загрузкой веб-шелла;
- украденные или слабые пароли к админ-панели CMS, FTP или панели хостинга;
- взлом сервера виртуального хостинга или DNS-записи с перенаправлением домена на другую страницу.
В MITRE ATT&CK техника описана как External Defacement (T1491.002). Авторы дефейсов часто оставляют подпись и регистрируют свои «трофеи» в публичных архивах вроде Zone-H. Иногда вместо взлома самого сайта атакующие подменяют только главную страницу или внедряют баннер через скомпрометированный сторонний скрипт, поэтому для посетителя результат выглядит одинаково.
Почему это важно
Дефейс — заметная, символическая атака, которую любят хактивисты во время политических конфликтов. В январе 2022 года десятки сайтов украинских государственных органов подверглись дефейсу с угрожающими сообщениями незадолго до обнаружения разрушительных атак с вайперами. Даже если данные не украдены, дефейс подрывает репутацию и доверие, может вызвать предупреждения поисковиков и браузеров и показывает, что атакующий контролировал сервер — а значит, мог разместить там вредоносное ПО, фишинговые страницы или SEO-спам.
Как предотвратить
- Обновлять CMS, темы и плагины, удалять неиспользуемые компоненты.
- Защищать административные учётные записи надёжными паролями и многофакторной аутентификацией.
- Использовать межсетевой экран для веб-приложений (WAF) и контроль целостности файлов, чтобы замечать изменения.
- Хранить офлайн-резервные копии для быстрого восстановления сайта, а затем выяснять, как атакующие проникли внутрь.
