# Cryptominer fuq is-server tal-web: sinjali u proċedura

> Agħraf cryptominer fuq is-server: iċċekkja tagħbija kontinwa, proċessi barranin, konnessjonijiet u mekkaniżmi ta' restart, salva t-traċċi u agħlaq il-kawża.

Sors: https://phpsos.de/mt/blog/kryptominer-auf-dem-server/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Cryptominer fuq is-server ġeneralment jidher permezz ta' tagħbija għolja kontinwa tas-CPU mingħajr raġuni ovvja, permezz ta' proċessi barranin, spiss taħt l-utent tas-server tal-web, u permezz ta' konnessjonijiet ħerġin lejn destinazzjonijiet mhux magħrufa. Twaqqafx il-proċess bil-għaġla: salva l-ewwel it-traċċi, fittex il-mekkaniżmi li jerġgħu jibdewh u agħlaq il-bieb tad-dħul. Miner ifisser li xi ħadd seta' jesegwixxi kodiċi fuq is-server tiegħek.

## Meta l-kont tal-fornitur tal-cloud ikun l-ewwel twissija

Ħafna drabi cryptominer ma jidhirx permezz ta' allarm tas-sigurtà, imma b'mod inċidentali. Il-websajt issir bil-mod, il-hoster jirrapporta qbiż tal-ħin tal-kalkolu, il-fan fiċ-ċentru tad-data proprju jaħdem kontinwament, jew il-fattura tal-fornitur tal-cloud togħla mingħajr proġetti ġodda. Għall-attakkanti miner huwa triq sempliċi biex jagħmlu l-flus minn server kompromess.

Mining ifisser li tuża l-qawwa tal-kalkolu ta' sistema barranija biex tipproduċi kriptovaluta. Il-ħsara tidher ġestibbli, għax ebda data ma tiġi kkriptata. Dan jinganna: min jista' jibda miner jista' jaqra wkoll dettalji tal-aċċess, jikkopja databases u joħloq backdoors oħra.

Wara PHP2Shell il-verifika tixraq partikolarment. Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mingħajr login. Indicators of Compromise ikkonfermati ma hemmx, u miner mhuwiex sinjal speċifiku ta' dawn il-vulnerabbiltajiet. Tagħbija għolja minn proċessi mhux magħrufa, madankollu, tagħmel parti mis-sinjali ġenerali deskritti taħt [Diġà kompromess?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/).

## Interpreta sew is-sinjali ta' cryptominer

Tagħbija għolja għandha ħafna kawżi bla ħsara. It-tabella tgħin fl-ewwel klassifikazzjoni:

| Osservazzjoni | Spjegazzjoni bla ħsara possibbli | X'iċċekkja |
|---|---|---|
| CPU kontinwament qrib it-tagħbija sħiħa | Backup, ipproċessar tal-immaġini, bini tal-indiċi | It-tagħbija taħdem b'mod uniformi anke bil-lejl u fil-weekend? |
| Proċess bl-isem ta' servizz tas-sistema | rari | Il-fajl tal-programm jinsab fil-mogħdija mistennija tas-sistema? |
| Proċess taħt `www-data`, `apache` jew `nginx` li mhuwiex PHP | kważi qatt | Min beda, minn liema folder? |
| Programm f'`/tmp`, `/var/tmp` jew `/dev/shm` | kważi qatt | Sa minn meta jeżisti l-fajl, lil min jappartjeni? |
| Konnessjoni ħerġa permanenti lejn destinazzjoni mhux magħrufa | Monitoraġġ, aġġornamenti | Id-destinazzjoni tappartjeni għal servizz magħruf? |
| It-tagħbija tonqos hekk kif tidħol | rari | Xi softwer malizzjuż jieqaf meta jaħdmu għodod ta' sorveljanza |

Iktar ma jaqblu linji, iktar hija probabbli sejba. Li l-utent tas-server tal-web jibda xi programmi barranin huwa fih innifsu sinjal qawwi ta' twissija, kif juri l-artikolu [Is-server tal-web jibda shell](https://phpsos.de/mt/blog/webserver-startet-shell/).

## Kif tiċċekkja l-proċessi u l-konnessjonijiet

Il-kmandi li ġejjin jaqraw biss. Innota r-riżultat u l-ħin, qabel ma tbiddel xi ħaġa:

```bash
# Proċessi skont il-konsum tas-CPU, bl-utent, il-ħin tal-bidu u l-kmand sħiħ
ps -eo pid,ppid,user,lstart,%cpu,%mem,args --sort=-%cpu | head -20

# Fajl tal-programm u direttorju tax-xogħol ta' proċess suspettuż (daħħal il-PID)
sudo ls -l /proc/PID/exe /proc/PID/cwd

# Konnessjonijiet ħerġin bil-proċess
sudo ss -tnp state established

# Fajls eżegwibbli f'folders temporanji
sudo find /tmp /var/tmp /dev/shm -type f -perm -u+x -ls 2>/dev/null
```

Jekk `/proc/PID/exe` jindika fajl bl-addizzjoni `(deleted)`, il-programm tħassar wara l-bidu. Dan huwa tentattiv tipiku ta' kamuffaġġ. Il-proċess ikompli jaħdem, u sakemm jaħdem, il-fajl tal-programm għad jista' jiġi salvat permezz ta' `/proc`. Dan għandu jagħmlu xi ħadd li jaf jimmaniġġa softwer malizzjuż; qatt tesegwixxi l-fajl.

Kif tgħaddi b'mod sistematiku mill-proċessi lil hinn mill-miner jiddeskrivih [Sib proċessi suspettużi fuq servers tal-Linux](https://phpsos.de/mt/blog/verdaechtige-prozesse-linux/).

## Għaliex il-miner dejjem jirritorna

Ħafna operaturi jwaqqfu l-proċess, jifirħu bit-tagħbija li tinżel, u l-għada jindunaw li kollox jibda mill-ġdid. Miners kważi dejjem jiġu installati b'mekkaniżmu ta' restart. Postijiet tipiċi huma:

1. **Cronjobs** tal-utent tas-server tal-web jew tas-sistema kollha, li kull ftit minuti jivverifikaw jekk il-miner jaħdimx u inkella jniżżluh.
2. **Servizzi tas-sistema** b'ismijiet diskreti li jibdew mal-boot.
3. **Webshell** fid-direttorju tal-web, li permezz tagħha l-attakkant jerġa' jibda l-miner f'kull ħin.
4. **Skripts tal-bidu mibdula** jew fajls tal-profil tal-utenti.
5. **Ċwievet SSH barranin**, li bihom l-attakkant jerġa' jidħol direttament.

```bash
# Cronjobs tal-utent tas-server tal-web u daħliet tas-sistema kollha
sudo crontab -u www-data -l
ls -la /etc/cron.d /etc/cron.hourly /var/spool/cron 2>/dev/null

# Units ta' systemd mibdula l-aħħar
sudo find /etc/systemd/system /lib/systemd/system -name '*.service' -newermt "2026-10-17" -ls
```

Biss meta l-mekkaniżmi kollha jinstabu, is-server jibqa' kwiet b'mod permanenti. Jekk l-attakkant kellu drittijiet ta' root, bini mill-ġdid fuq sistema friska spiss huwa iktar affidabbli milli tfittex kull moħba.

## Is-sekwenza t-tajba wara s-sejba

Miner jidher bħal inkonvenjent tekniku, imma huwa inċident tas-sigurtà. Aġixxi għalhekk b'ordni:

- **Salva:** Ikkopja l-lista tal-proċessi, il-konnessjonijiet, fajls suspettużi u logs bil-checksum, qabel ma jitwaqqaf xi ħaġa.
- **Illimita:** Iżola s-server jew imblokka l-konnessjonijiet ħerġin, jekk possibbli mingħajr telf ta' data.
- **Agħlaq il-kawża:** Ġib PHP għal stat rranġat (8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat), erġa' ibda l-workers kollha, aġġorna s-CMS u l-estensjonijiet.
- **Naddaf jew ibni mill-ġdid:** Neħħi l-miner, il-mekkaniżmi ta' restart u l-backdoors, fid-dubju waqqaf mill-ġdid.
- **Iċċekkja l-konsegwenzi:** Seta' jinqraw dettalji tal-aċċess jew data personali? Imbagħad iċċara l-protezzjoni tad-data u, jekk meħtieġ, l-obbligi ta' notifika.

Involvi kmieni l-hoster jew il-fornitur tal-cloud tiegħek. Ħafna fornituri jimblokkaw preventivament servers b'tagħbija jew traffiku tan-netwerk mhux tas-soltu. Min jinforma lill-fornitur stess u jikkoordina l-proċedura aktar jibqa' jikkontrolla l-mument tat-twaqqif. Staqsi wkoll dwar il-protokolli tan-netwerk u tal-aċċess tal-fornitur, għax jinsabu barra s-server tiegħek u huma diffiċli biex attakkant ibiddilhom.

Għall-maniġment hija importanti klassifikazzjoni qasira u onesta: il-miner innifsu jiswa l-aktar ħin tal-kalkolu u prestazzjoni. Il-mistoqsija vera, madankollu, hija x'ra l-attakkant barra minn hekk. Sakemm dan jiġi ċċarat, l-inċident m'għandux jitqies magħluq, anke jekk it-tagħbija terġa' tkun normali.

> **Importanti:**
> Cryptominer juri li kodiċi ġie eżegwit fuq is-server tiegħek. Ittratta d-dettalji kollha tal-aċċess li kienu fuq is-server bħala possibbilment imnixxija, u ġeddidhom wara t-tindif.

## Kif tgħin PHP SOS b'mod konkret?

- Nikklassifikaw it-tagħbija u nifirdu bejn kawżi bla ħsara u proċessi barranin.
- Insalvaw proċessi, fajls u konnessjonijiet, qabel ma jitwaqqaf il-miner.
- Infittxu l-mekkaniżmi ta' restart u l-backdoors kollha u nnaddfu s-server fil-qafas tat-[Tneħħija tal-malware](https://phpsos.de/mt/leistungen/malware-entfernung/) jew nibnuh mill-ġdid.
- Nagħlqu l-bieb tad-dħul, inġeddu l-aċċessi u nissettjaw sorveljanza tat-tagħbija li tirrapporta kmieni mudelli mhux tas-soltu.


## Mistoqsijiet frekwenti

**Kif nagħraf cryptominer fuq is-server tiegħi?**  
Tipika hija tagħbija għolja kontinwa tas-CPU li ma taqbilx man-numru ta' viżitaturi jew ma' kompiti skedati. Jiżdiedu proċessi b'ismijiet mhux magħrufa jew li jidhru bla ħsara, spiss taħt l-utent tas-server tal-web, u konnessjonijiet ħerġin lejn indirizzi barranin. Karatteristika waħda għadha mhijiex prova.

**Huwa biżżejjed li nwaqqaf il-proċess tal-mining?**  
Le. Miners ġeneralment jerġgħu jinbdew permezz ta' cronjobs, servizzi tas-sistema jew webshell. Min iwaqqaf biss il-proċess ta' spiss jarah lura ftit wara. Barra minn hekk il-bieb tad-dħul, li minnu daħal il-miner fuq is-server, jibqa' miftuħ.

**Cryptominer huwa bla ħsara għax jisraq biss qawwa tal-kalkolu?**  
Le. Min seta' jinstalla miner seta' jesegwixxi kodiċi fuq is-server. Hekk ġeneralment kienu jintlaħqu wkoll fajls tal-konfigurazzjoni, dettalji tal-aċċess u databases. Il-miner huwa s-sintomu viżibbli ta' dħul.

**Liema kawżi bla ħsara għandha tagħbija għolja tas-server?**  
Backups, ipproċessar tal-immaġini, bini tal-indiċi tat-tiftix, crawlers aggressivi jew estensjoni difettuża jistgħu wkoll jikkunsmaw ħafna ħin tal-kalkolu. Dawn il-kawżi ġeneralment jistgħu jiġu assenjati lil proċess magħruf u skeda. Jekk it-tagħbija tibqa' mingħajr spjegazzjoni, għandek tiċċekkja iktar mill-qrib.

## Sorsi

- [BSI (Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni): Indikazzjonijiet dwar inċidenti tas-sigurtà tal-IT](https://www.bsi.bund.de/)
- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)