Signes indiquant que la machine a été piratée

Une machine compromise a rarement l'air défaillante. Le plus souvent, elle se contente de faire un peu plus que ce que vous lui avez demandé : chauffer le CPU, émettre du trafic sortant, frapper aux adresses des autres. Plus tôt vous le remarquez, moins les conséquences sont lourdes.

Premiers signes

• Le CPU est constamment à 100 % sans charge de votre part — vous pouvez le voir sur le graphique dans « Vue d'ensemble » du panneau /hosting/vds/m/<id>.
• Un trafic sortant sur un plateau constant, 24 h/24 — voir utilisation du trafic.
• L'espace disque disparaît on ne sait où.
• Les journaux affichent une connexion réussie depuis une adresse inconnue — voir journaux de connexion.
• De nouveaux utilisateurs ou tâches planifiées sont apparus.
• Votre fournisseur a reçu une plainte concernant votre machine — diffusion de spam ou participation à une attaque.

Le cas où tout « est simplement devenu plus lent » est particulièrement dangereux : les mineurs évitent délibérément de faire chauffer la machine jusqu'à la panne afin de rester discrets plus longtemps.

Vérification

top -c
ps auxf
ss -tunp
ss -tnp state established

Cherchez les processus aux noms dénués de sens exécutés sous www-data ou un autre utilisateur de service, ainsi que les connexions sortantes vers des adresses inconnues.

Utilisateurs et entrées de démarrage automatique :

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Modifications récentes dans les répertoires système :

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

Les fichiers exécutables dans /tmp et /dev/shm sont presque toujours étrangers.

Clés d'accès :

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Une clé étrangère ajoutée est le moyen le plus courant de s'ancrer sur une machine.

Si la compromission est confirmée

N'essayez pas de « nettoyer et de continuer à travailler ». Vous ne savez pas exactement ce qui a été modifié : un attaquant a pu remplacer des commandes système, si bien que ps comme ls peuvent vous mentir effrontément.

L'ordre correct :

1. Déconnectez la machine des services externes, changez les mots de passe et les clés partout où ils ont été utilisés.
2. Rassemblez ce dont vous avez besoin pour l'investigation : journaux, liste des processus, heure de la première connexion suspecte.
3. Copiez uniquement des données, pas de fichiers exécutables. Copier du code depuis une machine compromise revient à transférer la porte dérobée.
4. Réinstallez le système dans l'onglet « Accès » du panneau /hosting/vds/m/<id>.
5. Reconstruisez-le, en commençant par le durcissement de la première heure.
6. Colmatez la faille d'origine : une application obsolète, un mot de passe faible, une base de données publique sans mot de passe.

Comment les attaquants entrent habituellement

La réinstallation peut sembler coûteuse, mais elle coûte moins qu'une machine à laquelle vous ne pouvez plus faire confiance pour quoi que ce soit. Un mineur ou une campagne de spam découvert constitue aussi une violation des conditions d'utilisation de la part de votre machine, même si ce n'est pas vous qui les avez lancés.