Ознаки того, що машину зламали

Заражена машина рідко виглядає зламаною. Найчастіше вона просто починає робити трохи більше, ніж ви просили: гріє процесор, надсилає вихідний трафік, стукає за чужими адресами. Що раніше ви це помітите, то менше буде наслідків.

Ранні ознаки

• Процесор постійно на 100%, хоча ви його не навантажуєте — це видно на графіку в розділі «Огляд» панелі /hosting/vds/m/<id>.
• Вихідний трафік рівним плато цілодобово — див. використання трафіку.
• Місце на диску зникає невідомо куди.
• У логах видно успішний вхід із незнайомої адреси — див. логи входів.
• З'явилися нові користувачі або заплановані завдання.
• Ваш провайдер отримав скаргу на вашу машину — розсилання спаму або участь в атаці.

Особливо небезпечний випадок, коли все «просто стало повільнішим»: майнери навмисно не спалюють машину до відмови, щоб довше залишатися непоміченими.

Перевірка

top -c
ps auxf
ss -tunp
ss -tnp state established

Шукайте процеси з безглуздими назвами, що працюють від www-data або іншого службового користувача, та вихідні з'єднання з незнайомими адресами.

Користувачі та записи автозапуску:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Нещодавні зміни в системних каталогах:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

Виконувані файли в /tmp і /dev/shm майже завжди чужі.

Ключі доступу:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Доданий чужий ключ — найпоширеніший спосіб закріпитися на машині.

Якщо підтвердилося

Не намагайтеся «почистити й працювати далі». Ви не знаєте точно, що саме було змінено: зловмисник міг підмінити системні команди, тож і ps, і ls можуть вам брехати.

Правильний порядок:

1. Від'єднайте машину від зовнішніх сервісів, змініть паролі та ключі всюди, де вони використовувалися.
2. Зберіть потрібне для розслідування: логи, список процесів, час першого підозрілого входу.
3. Копіюйте назовні лише дані, не виконувані файли. Копіювання коду із зараженої машини означає перенесення бекдору.
4. Перевстановіть систему на вкладці «Доступ» панелі /hosting/vds/m/<id>.
5. Налаштуйте її заново, починаючи з захисту в першу годину.
6. Закрийте початкову діру: застарілий застосунок, слабкий пароль, публічна база даних без пароля.

Як зазвичай потрапляють зловмисники

Перевстановлення виглядає дорогим, але коштує менше, ніж машина, якій ви більше ні в чому не можете довіряти. Виявлений майнер або спам-кампанія — це також порушення умов використання з боку вашої машини, навіть якщо ви їх не запускали.