संकेत कि मशीन हैक हो चुकी है

संक्रमित मशीन कभी-कभार टूटी हुई नहीं दिखती। अधिकतर वह बस आपके कहे से थोड़ा ज़्यादा करने लगती है: CPU गर्म होने लगता है, बाहर की ओर ट्रैफ़िक जाता है, दूसरों के पते पर दस्तक होने लगती है। जितनी जल्दी आप इसे नोटिस करेंगे, उतने ही कम परिणाम भुगतने पड़ेंगे।

शुरुआती संकेत

• CPU लगातार 100% पर है, जबकि आपकी ओर से कोई लोड नहीं है — आप इसे पैनल /hosting/vds/m/<id> के “Overview” में ग्राफ़ पर देख सकते हैं।
• बाहर की ओर ट्रैफ़िक चौबीसों घंटे एक सपाट स्तर पर बना रहता है — देखें traffic usage।
• डिस्क स्पेस किसी को पता नहीं कहाँ गायब हो रही है।
• लॉग में किसी अनजान पते से सफल लॉगिन दिखता है — देखें login logs।
• नए यूज़र या शेड्यूल्ड टास्क आ गए हैं।
• आपके प्रोवाइडर को आपकी मशीन के बारे में शिकायत मिली है — स्पैम फैलाना या किसी हमले में भागीदारी।

जहाँ सब कुछ “बस धीमा हो गया” हो, वह स्थिति खासतौर पर खतरनाक है: माइनर जानबूझकर मशीन को पूरी तरह जलाते नहीं, ताकि वे ज़्यादा देर तक पकड़ में न आएँ।

जाँच

top -c
ps auxf
ss -tunp
ss -tnp state established

www-data या किसी अन्य सर्विस यूज़र के रूप में चल रहे बेमतलब नाम वाले प्रोसेस और अनजान पतों से बने आउटबाउंड कनेक्शन ढूँढें।

यूज़र और ऑटोस्टार्ट एंट्री:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

सिस्टम डायरेक्टरी में हाल के बदलाव:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

/tmp और /dev/shm में मौजूद एक्ज़ीक्यूटेबल फ़ाइलें लगभग हमेशा बाहरी होती हैं।

एक्सेस की:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

जोड़ी गई अनजान की — मशीन पर पैर जमाने का सबसे आम तरीका है।

अगर पुष्टि हो जाए

“इसे साफ़ करके काम जारी रखें” की कोशिश न करें। आपको ठीक-ठीक पता नहीं कि क्या-क्या बदला गया है: हमलावर सिस्टम कमांड तक बदल सकता है, इसलिए ps और ls दोनों आपसे झूठ बोल सकते हैं।

सही क्रम:

1. मशीन को बाहरी सर्विस से डिस्कनेक्ट करें, जहाँ-जहाँ इनका इस्तेमाल हुआ था वहाँ सभी पासवर्ड और की बदलें।
2. जाँच के लिए ज़रूरी चीज़ें इकट्ठा करें: लॉग, प्रोसेस की सूची, पहले संदिग्ध लॉगिन का समय।
3. सिर्फ़ डेटा बाहर कॉपी करें, एक्ज़ीक्यूटेबल फ़ाइलें नहीं। संक्रमित मशीन से कोड कॉपी करने का मतलब है बैकडोर को आगे ले जाना।
4. पैनल /hosting/vds/m/<id> के “Access” टैब में सिस्टम रीइंस्टॉल करें।
5. first-hour hardening से शुरू करके इसे फिर से तैयार करें।
6. मूल छेद बंद करें: पुराना एप्लिकेशन, कमज़ोर पासवर्ड, बिना पासवर्ड वाला सार्वजनिक डेटाबेस।

हमलावर आमतौर पर कैसे घुसते हैं

रीइंस्टॉल करना महँगा लगता है, लेकिन यह उस मशीन से सस्ता है जिस पर आप किसी भी चीज़ के लिए भरोसा नहीं कर सकते। पकड़ा गया माइनर या स्पैम अभियान आपकी मशीन की ओर से terms of use का उल्लंघन भी है, भले ही आपने उन्हें शुरू न किया हो।