Εν ολίγοις: Ένας κρυπτοεξορύκτης στον διακομιστή φαίνεται συνήθως από μόνιμα υψηλό φορτίο CPU χωρίς εμφανή λόγο, από ξένες διεργασίες, συχνά κάτω από τον χρήστη του διακομιστή ιστού, και από εξερχόμενες συνδέσεις προς άγνωστους προορισμούς. Μην τερματίσετε βιαστικά τη διεργασία: διασφαλίστε πρώτα ίχνη, αναζητήστε τους μηχανισμούς που την επανεκκινούν και κλείστε την πύλη εισόδου. Ένας εξορύκτης σημαίνει ότι κάποιος μπόρεσε να εκτελέσει κώδικα στον διακομιστή σας.
Όταν η πρώτη προειδοποίηση είναι ο λογαριασμός του παρόχου cloud
Συχνά ένας κρυπτοεξορύκτης δεν γίνεται αντιληπτός από συναγερμό ασφαλείας, αλλά παρεμπιπτόντως. Ο ιστότοπος γίνεται νωθρός, ο πάροχος φιλοξενίας αναφέρει υπέρβαση υπολογιστικού χρόνου, ο ανεμιστήρας στο δικό σας κέντρο δεδομένων δουλεύει συνεχώς ή η χρέωση στον πάροχο cloud ανεβαίνει χωρίς νέα έργα. Για τους επιτιθέμενους ένας εξορύκτης είναι ένας απλός τρόπος να βγάλουν χρήματα από έναν παραβιασμένο διακομιστή.
Εξόρυξη σημαίνει να χρησιμοποιείται η υπολογιστική ισχύς ενός ξένου συστήματος για την παραγωγή κρυπτονομίσματος. Η ζημιά φαίνεται διαχειρίσιμη, επειδή δεν κρυπτογραφούνται δεδομένα. Αυτό απατά: όποιος μπορεί να ξεκινήσει έναν εξορύκτη, μπορεί και να διαβάσει διαπιστευτήρια, να αντιγράψει βάσεις δεδομένων και να δημιουργήσει περαιτέρω κερκόπορτες.
Μετά το PHP2Shell αξίζει ιδιαίτερα ο έλεγχος. Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 επιτρέπουν την εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση. Επιβεβαιωμένοι Indicators of Compromise δεν υπάρχουν και ένας εξορύκτης δεν είναι ειδικό σημάδι αυτών των ευπαθειών. Το υψηλό φορτίο από άγνωστες διεργασίες ανήκει όμως στις γενικές ενδείξεις που περιγράφονται στο Έχω ήδη παραβιαστεί;.
Σωστή ερμηνεία των ενδείξεων ενός κρυπτοεξορύκτη
Το υψηλό φορτίο έχει πολλές αθώες αιτίες. Ο πίνακας βοηθά στην πρώτη κατάταξη:
| Παρατήρηση | Πιθανή αθώα εξήγηση | Τι ελέγχετε |
|---|---|---|
| CPU μόνιμα κοντά στην πλήρη αξιοποίηση | αντίγραφο ασφαλείας, επεξεργασία εικόνων, δημιουργία ευρετηρίου | Τρέχει το φορτίο ομοιόμορφα και τη νύχτα και το Σαββατοκύριακο; |
| Διεργασία με όνομα σαν υπηρεσία συστήματος | σπάνια | Βρίσκεται το αρχείο προγράμματος στην αναμενόμενη διαδρομή συστήματος; |
Διεργασία κάτω από www-data, apache ή nginx που δεν είναι PHP |
σχεδόν ποτέ | Ποιος την ξεκίνησε, από ποιον φάκελο; |
Πρόγραμμα στο /tmp, στο /var/tmp ή στο /dev/shm |
σχεδόν ποτέ | Από πότε υπάρχει το αρχείο, σε ποιον ανήκει; |
| Μόνιμη εξερχόμενη σύνδεση προς άγνωστο προορισμό | παρακολούθηση, ενημερώσεις | Ανήκει ο προορισμός σε γνωστή υπηρεσία; |
| Το φορτίο μειώνεται μόλις συνδεθείτε | σπάνια | Ορισμένα κακόβουλα προγράμματα παύουν όταν τρέχουν εργαλεία παρακολούθησης |
Όσο περισσότερες γραμμές ισχύουν, τόσο πιθανότερο είναι ένα εύρημα. Ότι ο χρήστης του διακομιστή ιστού ξεκινά καν ξένα προγράμματα, είναι από μόνο του ισχυρό προειδοποιητικό σημάδι, όπως δείχνει το άρθρο Ο διακομιστής ιστού ξεκινά shell.
Έτσι ελέγχετε διεργασίες και συνδέσεις
Οι παρακάτω εντολές απλώς διαβάζουν. Σημειώστε αποτέλεσμα και ώρα πριν αλλάξετε οτιδήποτε:
# Διεργασίες κατά κατανάλωση CPU, με χρήστη, χρόνο εκκίνησης και πλήρη εντολή
ps -eo pid,ppid,user,lstart,%cpu,%mem,args --sort=-%cpu | head -20
# Αρχείο προγράμματος και κατάλογος εργασίας μιας ύποπτης διεργασίας (εισαγάγετε το PID)
sudo ls -l /proc/PID/exe /proc/PID/cwd
# Εξερχόμενες συνδέσεις με διεργασία
sudo ss -tnp state established
# Εκτελέσιμα αρχεία σε προσωρινούς φακέλους
sudo find /tmp /var/tmp /dev/shm -type f -perm -u+x -ls 2>/dev/null
Αν το /proc/PID/exe δείχνει σε αρχείο με την προσθήκη (deleted), το πρόγραμμα διαγράφηκε μετά την εκκίνηση. Αυτό είναι τυπική απόπειρα συγκάλυψης. Η διεργασία συνεχίζει να τρέχει και όσο τρέχει, το αρχείο προγράμματος μπορεί ακόμη να διασφαλιστεί μέσω του /proc. Αυτό πρέπει να το αναλάβει κάποιος που ξέρει να χειρίζεται κακόβουλο λογισμικό· μην εκτελέσετε ποτέ το αρχείο.
Πώς εξετάζετε συστηματικά διεργασίες πέρα από τον εξορύκτη, περιγράφει το Εύρεση ύποπτων διεργασιών σε διακομιστές Linux.
Γιατί ο εξορύκτης επιστρέφει συνεχώς
Πολλοί διαχειριστές τερματίζουν τη διεργασία, χαίρονται με το μειούμενο φορτίο και διαπιστώνουν την επόμενη ημέρα ότι όλα ξεκινούν πάλι από την αρχή. Οι εξορύκτες εγκαθίστανται σχεδόν πάντα με μηχανισμό επανεκκίνησης. Τυπικά σημεία είναι:
- Cronjobs του χρήστη του διακομιστή ιστού ή σε επίπεδο συστήματος, που ελέγχουν κάθε λίγα λεπτά αν τρέχει ο εξορύκτης και αλλιώς τον κατεβάζουν ξανά.
- Υπηρεσίες συστήματος με διακριτικά ονόματα, που ξεκινούν κατά την εκκίνηση.
- Ένα webshell στον κατάλογο ιστού, μέσω του οποίου ο επιτιθέμενος επανεκκινεί οποιαδήποτε στιγμή τον εξορύκτη.
- Αλλαγμένα scripts εκκίνησης ή αρχεία προφίλ χρηστών.
- Ξένα κλειδιά SSH, με τα οποία ο επιτιθέμενος συνδέεται πάλι απευθείας.
# Cronjobs του χρήστη του διακομιστή ιστού και εγγραφές σε επίπεδο συστήματος
sudo crontab -u www-data -l
ls -la /etc/cron.d /etc/cron.hourly /var/spool/cron 2>/dev/null
# Units systemd που άλλαξαν τελευταία
sudo find /etc/systemd/system /lib/systemd/system -name '*.service' -newermt "2026-10-17" -ls
Μόνο όταν βρεθούν όλοι οι μηχανισμοί, ο διακομιστής μένει μόνιμα ήσυχος. Αν ο επιτιθέμενος είχε δικαιώματα root, η αναδόμηση σε φρέσκο σύστημα είναι συνήθως πιο αξιόπιστη από την αναζήτηση κάθε κρυψώνας.
Η σωστή σειρά μετά το εύρημα
Ένας εξορύκτης μοιάζει με τεχνική ενόχληση, αλλά είναι περιστατικό ασφαλείας. Προχωρήστε γι' αυτό με τάξη:
- Διασφάλιση: Αντιγράψτε λίστα διεργασιών, συνδέσεις, ύποπτα αρχεία και logs με άθροισμα ελέγχου πριν τερματιστεί οτιδήποτε.
- Περιορισμός: Απομονώστε τον διακομιστή ή αποκλείστε τις εξερχόμενες συνδέσεις, αν αυτό είναι δυνατό χωρίς απώλεια δεδομένων.
- Κλείσιμο της αιτίας: Φέρτε την PHP σε διορθωμένο επίπεδο (8.5.12, 8.4.27, 8.3.36, 8.2.35 ή επιβεβαιωμένο backport), επανεκκινήστε όλους τους workers, ενημερώστε το CMS και τις επεκτάσεις.
- Καθαρισμός ή αναδόμηση: Αφαιρέστε εξορύκτη, μηχανισμούς επανεκκίνησης και κερκόπορτες, σε περίπτωση αμφιβολίας στήστε εκ νέου.
- Έλεγχος συνεπειών: Μπορούσαν να διαβαστούν διαπιστευτήρια ή δεδομένα προσωπικού χαρακτήρα; Τότε διευκρινίστε την προστασία δεδομένων και ενδεχομένως τις υποχρεώσεις γνωστοποίησης.
Εμπλέξτε νωρίς τον πάροχο φιλοξενίας ή cloud. Πολλοί πάροχοι αποκλείουν προληπτικά διακομιστές με ασυνήθιστο φορτίο ή ασυνήθιστη κίνηση δικτύου. Όποιος ενημερώνει ο ίδιος τον πάροχο και συντονίζει τη διαδικασία, διατηρεί πιθανότερα τον έλεγχο της χρονικής στιγμής της απενεργοποίησης. Ρωτήστε και για τα πρωτόκολλα δικτύου και πρόσβασης του παρόχου, επειδή βρίσκονται εκτός του διακομιστή σας και είναι δύσκολο να τα αλλάξει ένας επιτιθέμενος.
Για τη διοίκηση είναι σημαντική μια σύντομη, ειλικρινής κατάταξη: ο ίδιος ο εξορύκτης κοστίζει κυρίως υπολογιστικό χρόνο και απόδοση. Το πραγματικό ερώτημα είναι όμως τι άλλο είδε ο επιτιθέμενος. Μέχρι να διευκρινιστεί, το περιστατικό δεν πρέπει να θεωρείται κλειστό, ακόμη κι αν το φορτίο επανήλθε στο φυσιολογικό.
Ένας κρυπτοεξορύκτης δείχνει ότι εκτελέστηκε κώδικας στον διακομιστή σας. Αντιμετωπίστε όλα τα διαπιστευτήρια πρόσβασης που βρίσκονταν στον διακομιστή ως πιθανώς διαρρεύσαντα και ανανεώστε τα μετά τον καθαρισμό.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Κατατάσσουμε το φορτίο και ξεχωρίζουμε αθώες αιτίες από ξένες διεργασίες.
- Διασφαλίζουμε διεργασίες, αρχεία και συνδέσεις πριν τερματιστεί ο εξορύκτης.
- Αναζητούμε όλους τους μηχανισμούς επανεκκίνησης και τις κερκόπορτες και καθαρίζουμε τον διακομιστή στο πλαίσιο της αφαίρεσης κακόβουλου λογισμικού ή τον στήνουμε εκ νέου.
- Κλείνουμε την πύλη εισόδου, ανανεώνουμε προσβάσεις και ρυθμίζουμε μια παρακολούθηση φορτίου που αναφέρει νωρίς ασυνήθιστα μοτίβα.
Συχνές ερωτήσεις
Πώς αναγνωρίζω έναν κρυπτοεξορύκτη στον διακομιστή μου;
Τυπικό είναι ένα μόνιμα υψηλό φορτίο CPU που δεν ταιριάζει με τον αριθμό επισκεπτών ή με προγραμματισμένες εργασίες. Προστίθενται διεργασίες με άγνωστα ή αθώα ηχούντα ονόματα, συχνά κάτω από τον χρήστη του διακομιστή ιστού, και εξερχόμενες συνδέσεις προς ξένες διευθύνσεις. Ένα μεμονωμένο χαρακτηριστικό δεν είναι ακόμη απόδειξη.
Αρκεί να τερματίσω τη διεργασία εξόρυξης;
Όχι. Οι εξορύκτες ξεκινούν συνήθως ξανά και ξανά μέσω cronjobs, υπηρεσιών συστήματος ή ενός webshell. Όποιος τερματίζει μόνο τη διεργασία, τη βλέπει συχνά λίγο αργότερα πάλι. Επιπλέον παραμένει ανοιχτή η πύλη εισόδου μέσω της οποίας έφτασε ο εξορύκτης στον διακομιστή.
Είναι αβλαβής ένας κρυπτοεξορύκτης, επειδή απλώς κλέβει υπολογιστική ισχύ;
Όχι. Όποιος μπόρεσε να εγκαταστήσει έναν εξορύκτη, μπόρεσε να εκτελέσει κώδικα στον διακομιστή. Έτσι ήταν κατά κανόνα προσβάσιμα και αρχεία διαμόρφωσης, διαπιστευτήρια πρόσβασης και βάσεις δεδομένων. Ο εξορύκτης είναι το ορατό σύμπτωμα μιας εισβολής.
Ποιες αθώες αιτίες έχει ένα υψηλό φορτίο διακομιστή;
Αντίγραφα ασφαλείας, επεξεργασία εικόνων, δημιουργία ευρετηρίου αναζήτησης, επιθετικά crawlers ή μια ελαττωματική επέκταση μπορούν επίσης να καταναλώσουν πολύ υπολογιστικό χρόνο. Αυτές οι αιτίες αντιστοιχίζονται συνήθως σε γνωστή διεργασία και χρονοδιάγραμμα. Αν το φορτίο μένει ανεξήγητο, πρέπει να ελέγξετε σε βάθος.