Как майнеры маскируются под системные процессы — и почему это опасно для сайта

В чате скинули разбор про то, как вредоносные процессы маскируются под системные. И хотя речь о VDS, я сразу понял: если на сервере что-то не так — сайт, на котором он работает, тоже в опасности.

О чём речь и почему я считаю это важным для сайта

Речь о том, как вредоносное ПО маскируется под системные процессы — kworker, systemd, даже bash. Это не редкость, а стандартная тактика для скрытия активности на сервере.

Я считаю это важным, потому что сайт — это не просто страницы. Это сервер, который работает 24/7. И если на нём запущен майнер, ботнет или реверс-шелл — это уже не техническая проблема, а угроза для бизнеса.

Как это устроено — что тут вообще происходит

Вредоносное ПО не ищет «лакомые» сайты. Оно сканирует миллионы серверов, ищет уязвимости — старые версии, открытые порты, слабые пароли.

Когда находит — маскируется под системные процессы, удаляет бинарник с диска, скрывает порты. И работает, пока кто-то не вмешается.

Как понять, что это касается вашего сайта

Я проверяю это первым делом, если есть подозрение: странная нагрузка на CPU, неожиданные процессы, странная активность в логах.

Конкретно — смотрю, кто залогинился, какие ключи в .ssh, какие процессы запущены от www-data, есть ли открытые порты, не слушает ли что-то подозрительно. И если вижу — сразу начинаю разбираться.

Что с этим делать

Прежде чем что-либо удалять, я определяю источник: кто залогинился, откуда запущен процесс, где лежит автозагрузка.

Убиваю процесс — да. Но потом ищу, где он запускается: crontab, systemd, .bashrc, /etc/ld.so.preload. Потому что если не закрыть причину — он вернётся.

Что здесь даёт поддержка

На постоянной поддержке мы не просто чистим. Мы закрываем причину. Потому что заражение — это не про «хакер, который выбрал вас». Это про боты, которые массово сканируют уязвимости.

Мониторинг доступности и ключевых страниц у нас — каждые несколько минут, 24/7. Это значит, что мы видим сбой раньше, чем вы.

Если вы хотите быть уверены, что сайт не станет частью ботнета — приглашаю на бесплатный аудит безопасности.