# Kriptoieguves ļaunprogrammatūra tīmekļa serverī: pazīmes un rīcība

> Kriptoieguves ļaunprogrammatūras atpazīšana serverī: pārbaudīt pastāvīgu slodzi, svešus procesus, savienojumus un pārstartēšanas mehānismus, nodrošināt pēdas.

Avots: https://phpsos.de/lv/blog/kryptominer-auf-dem-server/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi sakot:** Kriptoieguves ļaunprogrammatūra serverī parasti izpaužas kā pastāvīgi augsta CPU slodze bez saprotama iemesla, svešiem procesiem, bieži zem tīmekļa servera lietotāja, un izejošiem savienojumiem uz nezināmiem mērķiem. Procesu nepārtrauciet pārsteidzīgi: vispirms nodrošiniet pēdas, meklējiet mehānismus, kas to pārstartē, un aizveriet ieejas vārtus. Miner nozīmē, ka kāds ir varējis izpildīt kodu jūsu serverī.

## Ja pirmais brīdinājums ir mākoņa sniedzēja rēķins

Bieži kriptoieguves ļaunprogrammatūra nav pamanāma ar drošības trauksmi, bet starp citu. Vietne kļūst gausa, hostinga sniedzējs ziņo par skaitļošanas laika pārsniegšanu, paša datu centra ventilators darbojas nepārtraukti vai rēķins pie mākoņa sniedzēja aug bez jauniem projektiem. Uzbrucējiem miner ir vienkāršs veids, kā no kompromitēta servera gūt naudu.

Ieguve nozīmē svešas sistēmas skaitļošanas jaudas izmantošanu kriptovalūtas ģenerēšanai. Kaitējums šķiet pārskatāms, jo dati netiek šifrēti. Tas maldina: kas var startēt miner, var arī nolasīt piekļuves datus, kopēt datubāzes un izveidot citas slēptās piekļuves.

Pēc PHP2Shell pārbaude ir īpaši vērtīga. Ievainojamības CVE-2026-109618 un CVE-2026-109619 ļauj izpildīt ļaunprātīgu kodu bez pieteikšanās. Apstiprinātu Indicators of Compromise nav, un miner nav specifiska šo ievainojamību pazīme. Augsta slodze no nezināmiem procesiem tomēr pieder pie vispārējām pazīmēm, kas aprakstītas sadaļā [Vai esmu jau kompromitēts?](https://phpsos.de/lv/php2shell/bin-ich-gehackt-anzeichen/).

## Kriptoieguves ļaunprogrammatūras pazīmju pareiza izpratne

Augstai slodzei ir daudz nekaitīgu iemeslu. Tabula palīdz pirmajā iedalījumā:

| Novērojums | Iespējams nekaitīgs skaidrojums | Ko pārbaudīt |
|---|---|---|
| CPU pastāvīgi tuvu pilnai noslodzei | rezerves kopija, attēlu apstrāde, indeksa veidošana | Vai slodze vienmērīgi saglabājas arī naktī un nedēļas nogalē? |
| Process ar nosaukumu kā sistēmas pakalpojumam | reti | Vai programmas fails atrodas gaidītajā sistēmas ceļā? |
| Process zem `www-data`, `apache` vai `nginx`, kas nav PHP | tikpat kā nekad | Kas to ir startējis, no kuras mapes? |
| Programma `/tmp`, `/var/tmp` vai `/dev/shm` | tikpat kā nekad | Kopš kura laika fails eksistē, kam tas pieder? |
| Pastāvīgs izejošs savienojums uz nezināmu mērķi | monitorings, atjauninājumi | Vai mērķis pieder zināmam pakalpojumam? |
| Slodze samazinās, tiklīdz pieteicaties | reti | Dažas ļaunprogrammas apstājas, kad darbojas uzraudzības rīki |

Jo vairāk rindu atbilst, jo ticamāks ir atradums. Tas, ka tīmekļa servera lietotājs vispār startē svešas programmas, jau pats par sevi ir spēcīga brīdinājuma pazīme, kā rāda raksts [Tīmekļa serveris startē shell](https://phpsos.de/lv/blog/webserver-startet-shell/).

## Kā pārbaudīt procesus un savienojumus

Šīs komandas tikai lasa. Pierakstiet rezultātu un laiku, pirms ko mainat:

```bash
# Procesi pēc CPU patēriņa, ar lietotāju, startēšanas laiku un pilnu komandu
ps -eo pid,ppid,user,lstart,%cpu,%mem,args --sort=-%cpu | head -20

# Aizdomīga procesa programmas fails un darba direktorijs (ievietot PID)
sudo ls -l /proc/PID/exe /proc/PID/cwd

# Izejošie savienojumi ar procesu
sudo ss -tnp state established

# Izpildāmi faili pagaidu mapēs
sudo find /tmp /var/tmp /dev/shm -type f -perm -u+x -ls 2>/dev/null
```

Ja `/proc/PID/exe` norāda uz failu ar papildinājumu `(deleted)`, programma pēc starta ir izdzēsta. Tas ir tipisks maskēšanās mēģinājums. Process darbojas tālāk, un kamēr tas darbojas, programmas failu vēl var nodrošināt caur `/proc`. To jāuzņemas kādam, kas prot rīkoties ar ļaunprogrammatūru; failu nekad neizpildiet.

Kā procesus pāri mineram sistemātiski izskatīt, apraksta [Aizdomīgu procesu atrašana Linux serveros](https://phpsos.de/lv/blog/verdaechtige-prozesse-linux/).

## Kāpēc miner vienmēr atgriežas

Daudzi operatori procesu pārtrauc, priecājas par krītošo slodzi un nākamajā dienā konstatē, ka viss sākas no jauna. Miner gandrīz vienmēr tiek instalēts ar pārstartēšanas mehānismu. Tipiskas vietas ir:

1. **Cronjobs** tīmekļa servera lietotājam vai sistēmas mērogā, kas ik pēc dažām minūtēm pārbauda, vai miner darbojas, un pretējā gadījumā to ielādē.
2. **Sistēmas pakalpojumi** ar neuzkrītošiem nosaukumiem, kas startē sāknēšanas laikā.
3. **Webshell** tīmekļa direktorijā, caur kuru uzbrucējs miner var jebkurā laikā pārstartēt.
4. **Mainīti startēšanas skripti** vai lietotāju profila faili.
5. **Svešas SSH atslēgas**, ar kurām uzbrucējs atkal tieši piesakās.

```bash
# Tīmekļa servera lietotāja cronjobs un sistēmas mēroga ieraksti
sudo crontab -u www-data -l
ls -la /etc/cron.d /etc/cron.hourly /var/spool/cron 2>/dev/null

# Pēdējie mainītie systemd unit
sudo find /etc/systemd/system /lib/systemd/system -name '*.service' -newermt "2026-10-17" -ls
```

Tikai kad visi mehānismi atrasti, serveris paliek pastāvīgi mierīgs. Ja uzbrucējam bija root tiesības, jaunbūve uz svaigas sistēmas parasti ir uzticamāka nekā katras slēptuves meklēšana.

## Pareizā secība pēc atrašanas

Miner izskatās pēc tehniskas nepatikšanas, bet ir drošības incidents. Tāpēc rīkojieties sakārtoti:

- **Nodrošināt:** procesu sarakstu, savienojumus, aizdomīgus failus un žurnālus nokopēt ar kontrolsummu, pirms kaut kas tiek pārtraukts.
- **Ierobežot:** serveri izolēt vai izejošos savienojumus bloķēt, ja to var izdarīt bez datu zuduma.
- **Aizvērt cēloni:** PHP novest labotā stāvoklī (8.5.12, 8.4.27, 8.3.36, 8.2.35 vai apstiprināts backport), pārstartēt visus worker, atjaunināt CMS un paplašinājumus.
- **Attīrīt vai uzbūvēt no jauna:** noņemt miner, pārstartēšanas mehānismus un slēptās piekļuves, šaubu gadījumā uzstādīt no jauna.
- **Pārbaudīt sekas:** vai varēja tikt nolasīti piekļuves dati vai personas dati? Tad noskaidrot datu aizsardzību un attiecīgā gadījumā ziņošanas pienākumus.

Savlaicīgi iesaistiet savu hostinga vai mākoņa sniedzēju. Daudzi sniedzēji serverus ar uzkrītošu slodzi vai tīkla satiksmi profilaktiski bloķē. Kas pats informē sniedzēju un saskaņo rīcību, ar lielāku varbūtību saglabā kontroli pār izslēgšanas laiku. Jautājiet arī par sniedzēja tīkla un piekļuves protokoliem, jo tie atrodas ārpus jūsu servera un uzbrucējam tos grūti mainīt.

Vadībai svarīgs ir īss, godīgs novērtējums: pats miner galvenokārt maksā skaitļošanas laiku un veiktspēju. Taču īstais jautājums ir, ko uzbrucējs vēl ir redzējis. Kamēr tas nav noskaidrots, incidentu nevajadzētu uzskatīt par izbeigtu, pat ja slodze atkal ir normāla.

> **Svarīgi:**
> Kriptoieguves ļaunprogrammatūra rāda, ka jūsu serverī ir izpildīts kods. Visus piekļuves datus, kas bija serverī, uzskatiet par, iespējams, aizplūdušiem un pēc attīrīšanas tos atjaunojiet.

## Kā PHP SOS palīdz konkrēti?

- Mēs klasificējam slodzi un atšķiram nekaitīgus iemeslus no svešiem procesiem.
- Mēs nodrošinām procesus, failus un savienojumus, pirms miner tiek pārtraukts.
- Mēs meklējam visus pārstartēšanas mehānismus un slēptās piekļuves un serveri attīrām [ļaunprogrammatūras noņemšanas](https://phpsos.de/lv/leistungen/malware-entfernung/) ietvaros vai uzbūvējam no jauna.
- Mēs aizveram ieejas vārtus, atjaunojam piekļuves un iestatām slodzes uzraudzību, kas neparastus modeļus ziņo savlaicīgi.


## Biežāk uzdotie jautājumi

**Kā atpazīt kriptoieguves ļaunprogrammatūru savā serverī?**  
Tipiska ir pastāvīgi augsta CPU slodze, kas neatbilst apmeklētāju skaitam vai ieplānotiem uzdevumiem. Klāt nāk procesi ar nezināmiem vai nekaitīgi izklausošiem nosaukumiem, bieži zem tīmekļa servera lietotāja, un izejoši savienojumi uz svešām adresēm. Atsevišķa pazīme vēl nav pierādījums.

**Vai pietiek ar kriptoieguves procesa pārtraukšanu?**  
Nē. Miner parasti atkal un atkal startē caur cronjobs, sistēmas pakalpojumiem vai webshell. Kas pārtrauc tikai procesu, bieži redz to atkal pēc neilga laika. Turklāt paliek atvērti ieejas vārti, pa kuriem miner nonāca serverī.

**Vai kriptoieguves ļaunprogrammatūra ir nekaitīga, jo tā tikai zog skaitļošanas jaudu?**  
Nē. Kas varēja instalēt miner, varēja serverī izpildīt kodu. Tādējādi parasti bija sasniedzami arī konfigurācijas faili, piekļuves dati un datubāzes. Miner ir redzamais ielaušanās simptoms.

**Kādi nekaitīgi iemesli ir augstai servera slodzei?**  
Rezerves kopijas, attēlu apstrāde, meklēšanas indeksa veidošana, agresīvi rāpuļprogrammas vai kļūdains paplašinājums arī var patērēt daudz skaitļošanas laika. Šos iemeslus parasti var piesaistīt zināmam procesam un laika grafikam. Ja slodze paliek bez skaidrojuma, pārbaudiet precīzāk.

## Avoti

- [BSI: norādes par IT drošības incidentiem](https://www.bsi.bund.de/)
- [php.net: drošības paziņojumi](https://www.php.net/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)