Признаки, что машину взломали

Взломанная машина редко выглядит сломанной. Чаще она просто начинает делать чуть больше, чем вы просили: греет процессор, шлёт исходящий трафик, стучится в чужие адреса. Чем раньше вы это заметите, тем меньше последствий.

Ранние признаки

• Процессор постоянно загружен на 100 % без вашей нагрузки — видно на графике в «Обзоре» панели /hosting/vds/m/<id>.
• Исходящий трафик ровной полкой круглые сутки — см. расход трафика.
• Место на диске уходит непонятно куда.
• В журналах есть успешный вход с незнакомого адреса — см. журналы входов.
• Появились новые пользователи или задачи по расписанию.
• Провайдер получил жалобу на вашу машину — рассылка спама или участие в атаке.

Отдельно опасен случай, когда всё «просто стало медленнее»: майнеры специально не выжигают машину до отказа, чтобы дольше оставаться незамеченными.

Проверка

top -c
ps auxf
ss -tunp
ss -tnp state established

Смотрите на процессы с бессмысленными именами, запущенные от www-data или другого служебного пользователя, и на исходящие соединения к незнакомым адресам.

Пользователи и точки автозапуска:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Свежие изменения в системных каталогах:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

Исполняемые файлы в /tmp и /dev/shm — почти всегда чужие.

Ключи доступа:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Добавленный чужой ключ — самый частый способ закрепиться на машине.

Если подтвердилось

Не пытайтесь «почистить и работать дальше». Вы не знаете, что именно изменено: злоумышленник мог подменить системные команды, поэтому и ps, и ls могут врать вам в лицо.

Правильный порядок:

1. Отключите машину от внешних сервисов, смените пароли и ключи везде, где они использовались.
2. Соберите то, что нужно для разбора: журналы, список процессов, время первого подозрительного входа.
3. Скопируйте наружу только данные, не исполняемые файлы. Копировать код с взломанной машины — значит переносить закладку.
4. Переустановите систему во вкладке «Доступ» панели /hosting/vds/m/<id>.
5. Поднимитесь заново, начиная с защиты в первый час.
6. Закройте исходную дыру: устаревшее приложение, слабый пароль, публичная база без пароля.

Как обычно попадают внутрь

Переустановка выглядит дорого, но обходится дешевле, чем машина, на которой вы больше ни в чём не уверены. Обнаруженный майнер или спам-рассылка — это ещё и нарушение правил использования со стороны вашей машины, даже если вы их не запускали.