Fil-qosor: Cryptominer fuq is-server ġeneralment jidher permezz ta' tagħbija għolja kontinwa tas-CPU mingħajr raġuni ovvja, permezz ta' proċessi barranin, spiss taħt l-utent tas-server tal-web, u permezz ta' konnessjonijiet ħerġin lejn destinazzjonijiet mhux magħrufa. Twaqqafx il-proċess bil-għaġla: salva l-ewwel it-traċċi, fittex il-mekkaniżmi li jerġgħu jibdewh u agħlaq il-bieb tad-dħul. Miner ifisser li xi ħadd seta' jesegwixxi kodiċi fuq is-server tiegħek.
Meta l-kont tal-fornitur tal-cloud ikun l-ewwel twissija
Ħafna drabi cryptominer ma jidhirx permezz ta' allarm tas-sigurtà, imma b'mod inċidentali. Il-websajt issir bil-mod, il-hoster jirrapporta qbiż tal-ħin tal-kalkolu, il-fan fiċ-ċentru tad-data proprju jaħdem kontinwament, jew il-fattura tal-fornitur tal-cloud togħla mingħajr proġetti ġodda. Għall-attakkanti miner huwa triq sempliċi biex jagħmlu l-flus minn server kompromess.
Mining ifisser li tuża l-qawwa tal-kalkolu ta' sistema barranija biex tipproduċi kriptovaluta. Il-ħsara tidher ġestibbli, għax ebda data ma tiġi kkriptata. Dan jinganna: min jista' jibda miner jista' jaqra wkoll dettalji tal-aċċess, jikkopja databases u joħloq backdoors oħra.
Wara PHP2Shell il-verifika tixraq partikolarment. Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mingħajr login. Indicators of Compromise ikkonfermati ma hemmx, u miner mhuwiex sinjal speċifiku ta' dawn il-vulnerabbiltajiet. Tagħbija għolja minn proċessi mhux magħrufa, madankollu, tagħmel parti mis-sinjali ġenerali deskritti taħt Diġà kompromess?.
Interpreta sew is-sinjali ta' cryptominer
Tagħbija għolja għandha ħafna kawżi bla ħsara. It-tabella tgħin fl-ewwel klassifikazzjoni:
| Osservazzjoni | Spjegazzjoni bla ħsara possibbli | X'iċċekkja |
|---|---|---|
| CPU kontinwament qrib it-tagħbija sħiħa | Backup, ipproċessar tal-immaġini, bini tal-indiċi | It-tagħbija taħdem b'mod uniformi anke bil-lejl u fil-weekend? |
| Proċess bl-isem ta' servizz tas-sistema | rari | Il-fajl tal-programm jinsab fil-mogħdija mistennija tas-sistema? |
Proċess taħt www-data, apache jew nginx li mhuwiex PHP |
kważi qatt | Min beda, minn liema folder? |
Programm f'/tmp, /var/tmp jew /dev/shm |
kważi qatt | Sa minn meta jeżisti l-fajl, lil min jappartjeni? |
| Konnessjoni ħerġa permanenti lejn destinazzjoni mhux magħrufa | Monitoraġġ, aġġornamenti | Id-destinazzjoni tappartjeni għal servizz magħruf? |
| It-tagħbija tonqos hekk kif tidħol | rari | Xi softwer malizzjuż jieqaf meta jaħdmu għodod ta' sorveljanza |
Iktar ma jaqblu linji, iktar hija probabbli sejba. Li l-utent tas-server tal-web jibda xi programmi barranin huwa fih innifsu sinjal qawwi ta' twissija, kif juri l-artikolu Is-server tal-web jibda shell.
Kif tiċċekkja l-proċessi u l-konnessjonijiet
Il-kmandi li ġejjin jaqraw biss. Innota r-riżultat u l-ħin, qabel ma tbiddel xi ħaġa:
# Proċessi skont il-konsum tas-CPU, bl-utent, il-ħin tal-bidu u l-kmand sħiħ
ps -eo pid,ppid,user,lstart,%cpu,%mem,args --sort=-%cpu | head -20
# Fajl tal-programm u direttorju tax-xogħol ta' proċess suspettuż (daħħal il-PID)
sudo ls -l /proc/PID/exe /proc/PID/cwd
# Konnessjonijiet ħerġin bil-proċess
sudo ss -tnp state established
# Fajls eżegwibbli f'folders temporanji
sudo find /tmp /var/tmp /dev/shm -type f -perm -u+x -ls 2>/dev/null
Jekk /proc/PID/exe jindika fajl bl-addizzjoni (deleted), il-programm tħassar wara l-bidu. Dan huwa tentattiv tipiku ta' kamuffaġġ. Il-proċess ikompli jaħdem, u sakemm jaħdem, il-fajl tal-programm għad jista' jiġi salvat permezz ta' /proc. Dan għandu jagħmlu xi ħadd li jaf jimmaniġġa softwer malizzjuż; qatt tesegwixxi l-fajl.
Kif tgħaddi b'mod sistematiku mill-proċessi lil hinn mill-miner jiddeskrivih Sib proċessi suspettużi fuq servers tal-Linux.
Għaliex il-miner dejjem jirritorna
Ħafna operaturi jwaqqfu l-proċess, jifirħu bit-tagħbija li tinżel, u l-għada jindunaw li kollox jibda mill-ġdid. Miners kważi dejjem jiġu installati b'mekkaniżmu ta' restart. Postijiet tipiċi huma:
- Cronjobs tal-utent tas-server tal-web jew tas-sistema kollha, li kull ftit minuti jivverifikaw jekk il-miner jaħdimx u inkella jniżżluh.
- Servizzi tas-sistema b'ismijiet diskreti li jibdew mal-boot.
- Webshell fid-direttorju tal-web, li permezz tagħha l-attakkant jerġa' jibda l-miner f'kull ħin.
- Skripts tal-bidu mibdula jew fajls tal-profil tal-utenti.
- Ċwievet SSH barranin, li bihom l-attakkant jerġa' jidħol direttament.
# Cronjobs tal-utent tas-server tal-web u daħliet tas-sistema kollha
sudo crontab -u www-data -l
ls -la /etc/cron.d /etc/cron.hourly /var/spool/cron 2>/dev/null
# Units ta' systemd mibdula l-aħħar
sudo find /etc/systemd/system /lib/systemd/system -name '*.service' -newermt "2026-10-17" -ls
Biss meta l-mekkaniżmi kollha jinstabu, is-server jibqa' kwiet b'mod permanenti. Jekk l-attakkant kellu drittijiet ta' root, bini mill-ġdid fuq sistema friska spiss huwa iktar affidabbli milli tfittex kull moħba.
Is-sekwenza t-tajba wara s-sejba
Miner jidher bħal inkonvenjent tekniku, imma huwa inċident tas-sigurtà. Aġixxi għalhekk b'ordni:
- Salva: Ikkopja l-lista tal-proċessi, il-konnessjonijiet, fajls suspettużi u logs bil-checksum, qabel ma jitwaqqaf xi ħaġa.
- Illimita: Iżola s-server jew imblokka l-konnessjonijiet ħerġin, jekk possibbli mingħajr telf ta' data.
- Agħlaq il-kawża: Ġib PHP għal stat rranġat (8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat), erġa' ibda l-workers kollha, aġġorna s-CMS u l-estensjonijiet.
- Naddaf jew ibni mill-ġdid: Neħħi l-miner, il-mekkaniżmi ta' restart u l-backdoors, fid-dubju waqqaf mill-ġdid.
- Iċċekkja l-konsegwenzi: Seta' jinqraw dettalji tal-aċċess jew data personali? Imbagħad iċċara l-protezzjoni tad-data u, jekk meħtieġ, l-obbligi ta' notifika.
Involvi kmieni l-hoster jew il-fornitur tal-cloud tiegħek. Ħafna fornituri jimblokkaw preventivament servers b'tagħbija jew traffiku tan-netwerk mhux tas-soltu. Min jinforma lill-fornitur stess u jikkoordina l-proċedura aktar jibqa' jikkontrolla l-mument tat-twaqqif. Staqsi wkoll dwar il-protokolli tan-netwerk u tal-aċċess tal-fornitur, għax jinsabu barra s-server tiegħek u huma diffiċli biex attakkant ibiddilhom.
Għall-maniġment hija importanti klassifikazzjoni qasira u onesta: il-miner innifsu jiswa l-aktar ħin tal-kalkolu u prestazzjoni. Il-mistoqsija vera, madankollu, hija x'ra l-attakkant barra minn hekk. Sakemm dan jiġi ċċarat, l-inċident m'għandux jitqies magħluq, anke jekk it-tagħbija terġa' tkun normali.
Cryptominer juri li kodiċi ġie eżegwit fuq is-server tiegħek. Ittratta d-dettalji kollha tal-aċċess li kienu fuq is-server bħala possibbilment imnixxija, u ġeddidhom wara t-tindif.
Kif tgħin PHP SOS b'mod konkret?
- Nikklassifikaw it-tagħbija u nifirdu bejn kawżi bla ħsara u proċessi barranin.
- Insalvaw proċessi, fajls u konnessjonijiet, qabel ma jitwaqqaf il-miner.
- Infittxu l-mekkaniżmi ta' restart u l-backdoors kollha u nnaddfu s-server fil-qafas tat-Tneħħija tal-malware jew nibnuh mill-ġdid.
- Nagħlqu l-bieb tad-dħul, inġeddu l-aċċessi u nissettjaw sorveljanza tat-tagħbija li tirrapporta kmieni mudelli mhux tas-soltu.
Mistoqsijiet frekwenti
Kif nagħraf cryptominer fuq is-server tiegħi?
Tipika hija tagħbija għolja kontinwa tas-CPU li ma taqbilx man-numru ta' viżitaturi jew ma' kompiti skedati. Jiżdiedu proċessi b'ismijiet mhux magħrufa jew li jidhru bla ħsara, spiss taħt l-utent tas-server tal-web, u konnessjonijiet ħerġin lejn indirizzi barranin. Karatteristika waħda għadha mhijiex prova.
Huwa biżżejjed li nwaqqaf il-proċess tal-mining?
Le. Miners ġeneralment jerġgħu jinbdew permezz ta' cronjobs, servizzi tas-sistema jew webshell. Min iwaqqaf biss il-proċess ta' spiss jarah lura ftit wara. Barra minn hekk il-bieb tad-dħul, li minnu daħal il-miner fuq is-server, jibqa' miftuħ.
Cryptominer huwa bla ħsara għax jisraq biss qawwa tal-kalkolu?
Le. Min seta' jinstalla miner seta' jesegwixxi kodiċi fuq is-server. Hekk ġeneralment kienu jintlaħqu wkoll fajls tal-konfigurazzjoni, dettalji tal-aċċess u databases. Il-miner huwa s-sintomu viżibbli ta' dħul.
Liema kawżi bla ħsara għandha tagħbija għolja tas-server?
Backups, ipproċessar tal-immaġini, bini tal-indiċi tat-tiftix, crawlers aggressivi jew estensjoni difettuża jistgħu wkoll jikkunsmaw ħafna ħin tal-kalkolu. Dawn il-kawżi ġeneralment jistgħu jiġu assenjati lil proċess magħruf u skeda. Jekk it-tagħbija tibqa' mingħajr spjegazzjoni, għandek tiċċekkja iktar mill-qrib.