Что делать, если VPS взломали: шаги восстановления и профилактика

Если подозреваете взлом сервера, сохраняйте спокойствие и действуйте по порядку. Цель — сначала остановить ущерб, затем восстановить систему с безопасной основы.

Признаки взлома

• Постоянно высокая нагрузка на CPU или сеть (например, майнинг криптовалют) и незнакомые процессы.
• Незнакомые пользователи, SSH-ключи или запланированные задачи (cron).
• На сайте появился контент, перенаправления или спам-ссылки, которые вы не добавляли.
• С сервера идёт спам или атакующий трафик; вы получили жалобу на злоупотребление.
• Изменённые системные файлы, службы, которые останавливаются без причины, незнакомые открытые порты.

1. Первые действия: остановите распространение

1. В панели клиента смените пароль аккаунта и завершите открытые сеансы.
2. Если с сервера идёт вредоносный трафик, подумайте о выключении сервера из панели — спам или атака прекратятся.
3. Сразу создайте обращение, описав ситуацию и когда вы её заметили.

2. Сохраните улики и данные

• Перед очисткой сервера сделайте снимок — это улика для последующего анализа.
• При необходимости скопируйте журналы /var/log, файлы сайта и дамп базы за пределы сервера. Не запускайте скопированные исполняемые файлы: после взлома файлам доверять нельзя.

3. Выясните, что произошло

last -a | head -20                 # последние входы
sudo journalctl -u ssh --since "7 days ago" | grep -i accepted
ps aux --sort=-%cpu | head          # самые активные по CPU
sudo ss -tulpn                      # прослушиваемые порты
sudo crontab -l; ls /etc/cron.*     # запланированные задачи
cat ~/.ssh/authorized_keys          # разрешённые SSH-ключи

Обычные причины — слабый или утёкший пароль, необновлённое веб-приложение или плагин, открытая админ-панель или база данных.

4. Безопасное восстановление: чистая установка

Если сервер взломан, самый надёжный путь — чистая установка, а не «попытка очистить»: скрытые остатки вроде руткитов вы не увидите.

1. В панели переустановите операционную систему (всё на диске будет стёрто).
2. Заново защитите новый сервер по чек-листу безопасности.
3. Восстановите данные из резервной копии. Убедитесь, что копия сделана до взлома, и обновите веб-приложение.
4. Смените все пароли (базы данных, администратора приложения, API-ключи, почты) и SSH-ключи.

5. Не допустите повторения

• Используйте в SSH только ключи, включите Fail2ban и брандмауэр.
• Включите автоматические обновления безопасности; обновляйте приложения и плагины.
• Не открывайте админ-панели и базы данных в интернет.
• Делайте регулярные резервные копии вне сервера и иногда проверяйте восстановление.
• Следите за журналами; настройте оповещения о необычной нагрузке CPU или сети.

Если вы получили жалобу на злоупотребление: устранение проблемы и ответ важны, чтобы услуга не была приостановлена (см. Жалобы на злоупотребления).

Начните с Melinhost

Снимок, выключение сервера и чистая установка из панели занимают минуты. Наша служба поддержки рядом в такой ситуации; каналы связи — на странице Служба поддержки.