علامات اختراق الجهاز

نادرًا ما يبدو الجهاز المخترق معطوبًا. في أغلب الأحيان، يبدأ ببساطة بفعل أكثر بقليل مما طلبته منه: ارتفاع حرارة المعالج، وإرسال حركة مرور صادرة، وطرق عناوين الآخرين. وكلما لاحظت ذلك أسرع، قلّت العواقب.

العلامات المبكرة

• المعالج عند 100% باستمرار دون أي حمل منك — يمكنك رؤية ذلك على الرسم البياني في «نظرة عامة» داخل لوحة التحكم /hosting/vds/m/<id>.
• حركة مرور صادرة على مستوى ثابت طوال اليوم — راجع استهلاك حركة المرور.
• مساحة القرص تختفي إلى مكان لا تعرفه.
• تُظهر السجلات تسجيل دخول ناجحًا من عنوان غير مألوف — راجع سجلات تسجيل الدخول.
• ظهور مستخدمين جدد أو مهام مجدولة.
• تلقّي مزوّدك شكوى بشأن جهازك — توزيع رسائل مزعجة أو مشاركة في هجوم.

الحالة التي «أصبح كل شيء أبطأ فحسب» هي الأخطر تحديدًا: فبرامج التعدين تتعمّد عدم إرهاق الجهاز حتى التعطّل كي تبقى غير ملحوظة أطول فترة ممكنة.

الفحص

top -c
ps auxf
ss -tunp
ss -tnp state established

ابحث عن عمليات بأسماء بلا معنى تعمل باسم www-data أو مستخدم خدمة آخر، وعن اتصالات صادرة إلى عناوين غير مألوفة.

المستخدمون ومدخلات التشغيل التلقائي:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

التغييرات الأخيرة في أدلة النظام:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

الملفات القابلة للتنفيذ في /tmp و/dev/shm تكون غريبة دائمًا تقريبًا.

مفاتيح الوصول:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

إضافة مفتاح غريب هي الطريقة الأكثر شيوعًا لتثبيت موطئ قدم على الجهاز.

إذا تأكد الأمر

لا تحاول «تنظيفه ومواصلة العمل». فأنت لا تعرف بالضبط ما الذي تغيّر: قد يكون المهاجم استبدل أوامر النظام، لذا يمكن لكل من ps وls أن يكذب عليك.

الترتيب الصحيح:

1. افصل الجهاز عن الخدمات الخارجية، وغيّر كلمات المرور والمفاتيح في كل مكان استُخدمت فيه.
2. اجمع ما تحتاجه للتحقيق: السجلات، وقائمة العمليات، ووقت أول تسجيل دخول مريب.
3. انسخ البيانات فقط، لا الملفات القابلة للتنفيذ. فنسخ شيفرة من جهاز مخترق يعني نقل الباب الخلفي.
4. أعد تثبيت النظام من تبويب «الوصول» في لوحة التحكم /hosting/vds/m/<id>.
5. أعد بناءه من جديد، بدءًا من تقوية الساعة الأولى.
6. أغلق الثغرة الأصلية: تطبيق قديم، أو كلمة مرور ضعيفة، أو قاعدة بيانات عامة دون كلمة مرور.

كيف يدخل المهاجمون عادةً

يبدو إعادة التثبيت مكلفًا، لكنه أقل تكلفة من جهاز لم يعد بإمكانك الوثوق به في أي شيء. كما أن اكتشاف برنامج تعدين أو حملة رسائل مزعجة يُعدّ أيضًا مخالفة لـشروط الاستخدام من جانب جهازك، حتى لو لم تكن أنت من أطلقهما.