php.net wymieniony jako podejrzany - odwiedzenie tej witryny może spowodować uszkodzenie komputera

Gdy uzyskuję dostęp do php.net za pośrednictwem wyszukiwarki Google, otrzymuję następujący komunikat z informacją

Strona internetowa zawiera złośliwe oprogramowanie!

Zobacz zrzut ekranu załączony poniżej:

Czy to samo dla was? Jak mogę tego uniknąć?

Czy to oznacza, że ​​witryna została zhakowana lub zaatakowana przez złośliwe oprogramowanie?

Wynika to z faktu, że Google regularnie sprawdzało witrynę w ciągu ostatnich 90 dni. Wyniki były następujące:

Z 1513 stron przetestowanych w witrynie w ciągu ostatnich 90 dni, 4 stron spowodowało pobranie i zainstalowanie złośliwego oprogramowania bez zgody użytkownika. Ostatnim razem, gdy Google odwiedził tę stronę, był 2013-10-23, a ostatni raz podejrzana zawartość została znaleziona na tej stronie w dniach 2013-10-23.

Złośliwe oprogramowanie zawiera 4 trojany.

Złośliwe oprogramowanie działa w 4 domenach, w tym cobbcountybankruptcylawyer.com/, stephaniemari.com/, northgadui.com/.

Wydaje się, że 3 domeny działają jako pośrednicy do rozpowszechniania złośliwego oprogramowania wśród odwiedzających tę witrynę, w tym stephaniemari.com/, northgadui.com/, satnavreviewed.co.uk/.

Jest tak prawdopodobnie dlatego, że ludzie pozostawiają linki do tych stron w całym tekście php.net.

To coś więcej. Istnieją doniesienia (1100 GMT 2013-10-24), że linki zostały wstrzyknięte do Javascript, którego używa strona i dlatego na razie są zhakowane.

Dopóki nie usłyszysz inaczej, uniknę strony. Wkrótce - wszystko będzie bez wątpienia.

A jeśli pójdziesz do Strona diagnostyczna Bezpieczne przeglądanie , możesz to zobaczyć:

Aby podkreślić:

Ta strona nie jest obecnie na liście podejrzanych.

Naprawili to, ponieważ wysłałem tę odpowiedź.

Z perspektywy samego php.net wygląda na fałszywy wynik pozytywny:

http://php.net/archive/2013.php#id2013-10-24-1

W dniu 24 października 2013 r. 06:15:39 +0000 Google zaczęło mówić, że www.php.net hostuje złośliwe oprogramowanie. Narzędzia Google dla webmasterów początkowo były dość opóźnione w pokazywaniu powodów, dla których tak się stało, a kiedy to zrobiły, wyglądało to jak fałszywy wynik pozytywny, ponieważ w pliku userprefs.js dynamicznie wstrzykiwano minifikowany / zaciemniony javascript. To również wydawało nam się podejrzane, ale w rzeczywistości napisano, aby zrobić dokładnie to, więc byliśmy całkiem pewni, że to fałszywie dodatni wynik, ale wciąż kopaliśmy.

Okazało się, że przeczesując logi dostępu do pliku static.php.net, okresowo wyświetlał on userprefs.js o niewłaściwej długości treści, a po kilku minutach powracał do właściwego rozmiaru. Wynika to z zadania rsync cron. Plik został zmodyfikowany lokalnie i cofnięty. Robot Google złapał jedno z tych małych okien, w których był podawany niewłaściwy plik, ale oczywiście, gdy spojrzeliśmy na to ręcznie, wyglądało dobrze. Więc więcej zamieszania.

Nadal badamy, jak ktoś spowodował zmianę tego pliku, ale w międzyczasie przenieśliśmy www / statyczny na nowe czyste serwery. Najwyższym priorytetem jest oczywiście integralność kodu źródłowego i po krótkim czasie:

git fsck --no-reflog --full --strict

na wszystkich naszych repozycjach plus ręczne sprawdzanie sum md5 plików dystrybucyjnych PHP nie widzimy żadnych dowodów na to, że kod PHP został naruszony. Mamy lustro naszych repozytoriów git na github.com, a my ręcznie sprawdzimy zatwierdzenia git i mamy pełną sekcję pośmiertną, gdy mamy wyraźniejszy obraz tego, co się stało.

Najnowsza aktualizacja (w momencie publikowania tej odpowiedzi)

http://php.net/archive/2013.php#id2013-10-24-2

Kontynuujemy pracę nad następstwami php.net   problem ze złośliwym oprogramowaniem opisany w dzisiejszym artykule informacyjnym. W ramach tego   zespół systemów php.net przeprowadził audyt każdego serwera obsługiwanego przez   php.net i znaleźliśmy to dwa serwery zostały naruszone: serwer   który obsługiwał domeny www.php.net, static.php.net i git.php.net ,   i wcześniej podejrzewano, że bazuje na złośliwym oprogramowaniu JavaScript, i   serwer hostingowy bugs.php.net . Metoda, za pomocą której te serwery były   zagrożone jest obecnie nieznane.

Wszystkie usługi, których dotyczy problem, zostały zmigrowane z tych serwerów. Mamy   zweryfikowałem, że nasze repozytorium Git nie zostało naruszone i pozostaje   w trybie tylko do odczytu, ponieważ usługi są przywracane w całości.

Tak jak możliwe, że napastnicy uzyskali dostęp do klucza prywatnego   certyfikatu SSL php.net , natychmiast go odwołaliśmy. Jesteśmy   w trakcie uzyskiwania nowego certyfikatu i oczekuję przywrócenia   dostęp do stron php.net, które wymagają SSL (w tym bugs.php.net i   wiki.php.net) w ciągu najbliższych kilku godzin.