# Sib proċessi suspettużi fuq servers tal-Linux

> Sib proċessi suspettużi fuq Linux: agħraf fajls tal-programm imħassra, ismijiet moħbija u postijiet tal-bidu, assenja l-proċessi lill-pakkett u salva t-traċċi.

Sors: https://phpsos.de/mt/blog/verdaechtige-prozesse-linux/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Proċessi suspettużi fuq servers tal-Linux tagħrafhom minn ftit karatteristiċi: fajl tal-programm imħassar jew f'`/tmp`, `/dev/shm` jew direttorju tal-web, isem li jimita proċess tas-sistema, utent mhux tas-soltu, konnessjonijiet permanenti tan-netwerk jew tagħbija għolja mingħajr raġuni. Iċċekkja b'kmandi li jaqraw biss jekk il-fajl tal-programm jappartjenix għal pakkett installat, u salva s-sejbiet qabel ma twaqqaf xi ħaġa.

## X'ifisser „suspettuż“ għal proċess

Fuq server tal-web jaħdmu mijiet ta' proċessi. Il-biċċa l-kbira jappartjenu għas-sistema operattiva, għas-server tal-web, għad-database jew għal PHP. Attakkant li seta' jesegwixxi kodiċi permezz ta' vulnerabbiltà bħal PHP2Shell jipprova ma jaqbadx l-għajn bejniethom. Jagħżel ismijiet diskreti u jpoġġi programmi fejn l-utent tas-server tal-web jista' jikteb.

Għall-verifika jgħin li tkun taf l-istat normali. Min jaf liema servizzi għandhom jaħdmu fuq server, taħt liema utenti u b'liema tagħbija, jagħraf id-devjazzjonijiet ħafna iktar malajr. Jekk dan l-għarfien jonqos, jixraq li tuża għall-paragun il-lista tal-proċessi ta' server simili u mhux suspettat.

Karatteristika waħda mhijiex xorta waħda prova. Deċiżiv huwa t-taħlit. Proċess bl-isem ta' thread tal-kernel, li jaħdem taħt `www-data`, beda minn `/dev/shm` u żamm konnessjoni barra mill-pajjiż, huwa każ ċar. Kif tiċċekkja l-każ speċjali ta' shell taħt is-server tal-web jiddeskrivih [Sinjal ta' twissija: is-server tal-web jibda shell](https://phpsos.de/mt/blog/webserver-startet-shell/).

## L-ewwel ħarsa ġenerali f'ħames kmandi

Il-kmandi kollha jaqraw biss. Esegwihom bħala root, biex tara l-proċessi kollha, u aħżen l-outputs f'fajl barra mid-direttorju tal-web.

```bash
# 1. Il-proċessi kollha bl-utent, il-PID tal-ġenitur, il-ħin tal-bidu, CPU u l-linja tal-kmand
ps -eo user,pid,ppid,lstart,%cpu,%mem,cmd --sort=-%cpu | head -40

# 2. Proċessi li l-fajl tal-programm tagħhom tħassar
ls -l /proc/[0-9]*/exe 2>/dev/null | grep "(deleted)"

# 3. Proċessi li jaħdmu minn direttorji temporanji jew tal-web
ls -l /proc/[0-9]*/exe 2>/dev/null | grep -E " -> (/tmp|/var/tmp|/dev/shm|/var/www)"

# 4. Proċessi b'konnessjonijiet tan-netwerk
ss -tunap

# 5. Ħarsa ġenerali lejn il-proċessi tal-utenti tas-server tal-web
ps -eo user,pid,ppid,lstart,cmd | grep -E "^(www-data|apache|nginx) "
```

L-ismijiet tal-utenti jvarjaw skont id-distribuzzjoni u l-panel; Plesk u panels oħra ta' spiss iħaddmu PHP taħt l-utent tal-klijent rispettiv. Adatta l-lista għall-ambjent tiegħek.

Aqra l-outputs b'ħarsa lejn il-ħin tal-bidu. Proċessi li jaħdmu mill-aħħar restart tas-server ġeneralment jappartjenu għas-sistema. Proċessi li bdew f'nofs il-lejl jew fil-jiem wara s-17 ta' Ottubru u ma jaqblux ma' ebda servizz jixirqilhom attenzjoni. Qabbel ukoll in-numru ta' proċessi ta' PHP ma' dak li l-konfigurazzjoni tal-pool tiegħek tippermetti; ħafna iktar proċessi taħt utent tas-server tal-web huma indikazzjoni.

## Proċessi suspettużi taħt Linux: karatteristiċi tipiċi

| Karatteristika | Għaliex taqbad l-għajn | Spjegazzjoni bla ħsara possibbli? |
|---|---|---|
| Fajl tal-programm „(deleted)“ | L-attakkanti jħassru fajls wara l-bidu | iva, wara aġġornamenti tal-pakketti sakemm isir restart |
| Post tal-bidu `/tmp`, `/dev/shm`, folder tal-upload | hemmhekk jista' jikteb kulħadd jew is-server tal-web | rari |
| Isem fil-parentesi kwadri bħal `[kworker]` | jimita threads tal-kernel | le, jekk wara hemm fajl tal-programm |
| Tagħbija għolja permanenti tas-CPU mingħajr raġuni | tipiku għal cryptominers | iva, f'batch jobs jew indiċizzazzjoni |
| Proċess ġenitur 1 u utent tas-server tal-web | maqlugħ mis-server tal-web, ikompli jaħdem waħdu | rari |
| Konnessjoni lejn destinazzjoni mhux magħrufa | kontroll jew tnixxija tad-data | iva, f'aġġornamenti u APIs |

Threads veri tal-kernel m'għandhomx fajl tal-programm; `ls -l /proc/PID/exe` fihom ma jagħti l-ebda mogħdija. Jekk proċess b'isem tal-kernel jindika fajl, huwa moħbi. Fil-każ ta' tagħbija għolja mingħajr raġuni ovvja jgħin l-artikolu [Cryptominer fuq is-server tal-web](https://phpsos.de/mt/blog/kryptominer-auf-dem-server/).

## Kontroll: il-fajl tal-programm jappartjeni għal pakkett?

Kważi l-programmi leġittimi kollha fuq server jiġu mill-amministratur tal-pakketti. Fajl tal-programm li ma jappartjenix lil ebda pakkett mhuwiex awtomatikament malizzjuż, imma jixraq ħarsa eżatta.

```bash
PID=12345
EXE=$(readlink /proc/$PID/exe); echo "$EXE"
dpkg -S "$EXE"        # Debian/Ubuntu: lil liema pakkett jappartjeni l-fajl?
rpm -qf "$EXE"        # familja RHEL
sha256sum /proc/$PID/exe   # checksum, taħdem anke f'fajl imħassar
tr '\0' ' ' < /proc/$PID/environ | head -c 600; echo   # varjabbli tal-ambjent
```

Jekk il-fajl tal-programm tħassar, `sha256sum /proc/$PID/exe` xorta jaqrah mill-proċess li qed jaħdem. Din il-checksum tappartjeni fid-dokumentazzjoni. Kopja tal-fajl għandha tagħmilha biss min jaf kif iżommha b'mod sigur.

## Limiti tal-verifika fuq is-sistema li qed taħdem

Il-kmandi kollha ta' hawn fuq jafdaw is-sistema li qed tivverifika. F'dħul tas-soltu permezz tal-websajt bid-drittijiet tal-utent tas-server tal-web dan huwa difendibbli. Jekk attakkant kiseb drittijiet ta' root, jista' jaħbi proċessi u jivvizza outputs. Imbagħad is-server juri biss dak li jippermetti l-attakkant.

Indikazzjonijiet għal dan huma kontradizzjonijiet: tagħbija mingħajr proċess viżibbli, konnessjonijiet li l-firewall tarahom imma `ss` le, jew programmi tas-sistema mibdula. F'każijiet bħal dawn il-verifika tappartjeni fuq image salvat. F'sistemi li qed jaħdmu ta' spiss tiżdied salvataġġ tal-memorja ewlenija, għax xi softwer malizzjuż jeżisti biss hemmhekk u ma jħalli kważi l-ebda traċċa fuq id-disk. Din is-salvataġġ trid issir qabel restart u teħtieġ għodod xierqa u esperjenza. Għaliex għandek tagħmel dan qabel installazzjoni mill-ġdid tispjegah [Salva l-provi qabel terġgħu tinstallaw](https://phpsos.de/mt/blog/beweise-sichern-vor-neuinstallation/).

> **Importanti:**
> Twaqqafx proċessi suspettużi bħala l-ewwel pass. Spiss cronjob jew servizz jerġa' jibdihom, u mal-proċess jisparixxu mill-memorja l-linja tal-kmand, il-konnessjonijiet u l-fajl tal-programm imħassar.

## Iċċekkja l-autostarts u l-passi li jmiss

Proċess malizzjuż li jisparixxi wara restart ikun bla siwi għall-attakkanti. Għalhekk f'kull sejba ta' proċess tappartjeni l-mistoqsija x'jibdih. Minbarra cronjobs jiġu f'kunsiderazzjoni l-aktar servizzi systemd, li attakkant bid-drittijiet ta' root jista' joħloq. Jaqbdu l-għajn servizzi b'ismijiet ġeneriċi li l-fajl tal-programm tagħhom jinsab f'direttorju mhux tas-soltu, u fajls unit li nħolqu wara s-17 ta' Ottubru.

```bash
# Servizzi li qed jaħdmu u fajls unit mibdula riċentement
systemctl list-units --type=service --state=running --no-pager
find /etc/systemd /usr/lib/systemd /lib/systemd -type f -newerct "2026-10-17" -ls 2>/dev/null

# Libreriji jiddaħħlu f'kull proċess? Il-fajl normalment ma jeżistix.
ls -l /etc/ld.so.preload 2>/dev/null && cat /etc/ld.so.preload
```

Daħla f'`/etc/ld.so.preload` hija rari fuq servers tal-web normali u indikazzjoni qawwija ta' manipulazzjoni bid-drittijiet ta' root. Kif tivverifika kompiti skedati kompletament jiddeskrivih [Agħraf cronjobs moħbija bħala backdoor](https://phpsos.de/mt/blog/cronjobs-als-hintertuer/).

Wara jsegwu l-passi li jmiss f'din is-sekwenza:

1. Salva l-outputs u l-checksums bil-ħin.
2. Fittex persistenza: cronjobs, servizzi u timers ta' systemd, ċwievet SSH.
3. Iċċara l-oriġini: logs mill-20 ta' Ottubru, fajls ġodda fid-direttorju tal-web.
4. Iżola s-server u ppjana tindif jew bini mill-ġdid.

Ħarsa ġenerali lejn is-sinjali tipiċi kollha wara PHP2Shell tagħti [Diġà kompromess?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/).

## Kif tgħin PHP SOS b'mod konkret?

- **Nivvalutaw il-proċessi:** Niċċekkjaw il-lista tal-proċessi, il-fajls tal-programmi u l-konnessjonijiet u nikklassifikaw kull sejba.
- **Insalvaw b'mod validu fil-qorti:** Bl-[IT-Forensika](https://phpsos.de/mt/leistungen/it-forensik/) insalvaw il-memorja u l-mezzi ta' ħażna qabel ma jinbidel xi ħaġa.
- **Insibu l-persistenza:** Infittxu mekkaniżmi li jerġgħu jibdew proċessi malizzjużi.
- **Nagħlqu:** Intnaddfu jew nibnu mill-ġdid u niddokumentaw l-inċident sat-tmiem.


## Mistoqsijiet frekwenti

**Kif nagħraf proċess suspettuż taħt Linux?**  
Karatteristiċi tipiċi huma fajl tal-programm imħassar, post tal-bidu f'/tmp jew /dev/shm, isem li jimita proċess tas-sistema, utent mhux tas-soltu u konnessjonijiet permanenti tan-netwerk. Karatteristiċi individwali huma indikazzjonijiet, diversi flimkien suspett serju.

**X'ifisser „(deleted)“ f'/proc/PID/exe?**  
Il-fajl tal-programm tal-proċess tħassar wara l-bidu. Dan iseħħ b'mod leġittimu wara aġġornamenti tal-pakketti, sakemm is-servizz jerġa' jibda. F'proċessi minn folders temporanji jew taħt l-utent tas-server tal-web huwa mġiba tipika ta' kamuffaġġ.

**Nista' nafda l-output ta' ps?**  
F'dħul tas-soltu ġeneralment iva. Jekk attakkant kiseb drittijiet ta' root, madankollu, jista' jimmanipula għodod u outputs. Imbagħad verifika minn barra, pereżempju fuq image salvat, hija iktar affidabbli.

**Għandi nwaqqaf proċess suspettuż b'kill?**  
Mhux l-ewwel. Salva l-ewwel il-linja tal-kmand, il-fajl tal-programm, il-konnessjonijiet u l-ħin tal-bidu. Proċess imwaqqaf ma jiżvela xejn aktar, u ta' spiss cronjob jew servizz jerġa' jibdih xorta waħda.

## Sorsi

- [BSI IT-Grundschutz (Ġermanja)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)