Hohe Auslastung
Unbekannte Prozesse belegen dauerhaft CPU, der Server wird langsam oder die Last steigt plötzlich.
Linux · VPS · cPanel · aaPanel · Plesk
Linux-Server von Malware und Backdoors bereinigen
Ich untersuche kompromittierte Linux-Server, VPS und Hosting-Umgebungen auf verdächtige Prozesse, Miner, Spamversand, Phishing-Dateien, Webshells, cron, systemd, Benutzer und SSH-Schlüssel. Ziel ist es, Einstieg und Persistenz zu finden, nicht nur eine erkannte Datei zu löschen.
Nicht blind neu starten oder Dateien löschen. Zuerst Snapshot, Protokolle und aktuellen Zustand sichern, sonst gehen wichtige Spuren verloren.
Wann der Server geprüft werden sollte
Ein einzelnes Symptom beweist noch keinen Befall. Mehrere Anzeichen zusammen erfordern jedoch eine zeitnahe Prüfung.
Spam und Blacklists
Die IP versendet E-Mails, Abuse-Meldungen treffen ein oder SMTP und Domains werden blockiert.
Wiederkehrender Befall
Websites werden nach Dateibereinigung oder Backup-Wiederherstellung erneut infiziert.
Unbekannte Persistenz
Neue cron-Jobs, systemd-Dienste, Benutzer, SSH-Schlüssel oder Programme in temporären Verzeichnissen erscheinen.
Phishing und Weiterleitungen
Fremde Seiten, Casino-Weiterleitungen, Doorways oder schädliche Downloads liegen auf dem Server.
Hoster-Sperre
Der Provider begrenzt den Server wegen Missbrauch, ausgehendem Verkehr oder infizierten Dateien.
So läuft die Linux/VPS-Bereinigung ab
Zustand sichern
Symptome dokumentieren, verfügbare Daten sichern und relevante Protokolle erhalten.
Untersuchen
Prozesse, Verbindungen, Benutzer, SSH, cron, systemd, Webverzeichnisse, Datenbanken und Änderungen prüfen.
Einstieg finden
Verwundbare CMS- und Panel-Komponenten, gestohlene Zugänge, offene Dienste und Exploit-Spuren abgleichen.
Eindämmen und bereinigen
Schädliche Prozesse stoppen, Dateien isolieren, Persistenz entfernen und nötige Komponenten wiederherstellen.
Ursache schließen
Kompromittierte Zugänge ändern, Software aktualisieren und notwendige Schutzmaßnahmen umsetzen.
Kontrollieren
Websites, Dienste, ausgehende Verbindungen, Last und erneutes Auftreten der Indikatoren prüfen.
Was Sie als Ergebnis erhalten
- Liste der gefundenen Indikatoren und betroffenen Komponenten
- Bereinigung schädlicher Dateien, Jobs und Prozesse im vereinbarten Umfang
- Prüfung der gehosteten Websites, wenn sie Teil des Vorfalls sind
- Schließen des gefundenen Einstiegs oder klarer Plan für eine saubere Migration
- Wechsel kritischer Zugänge und Hinweise zu SSH, Firewall, Backups und Updates
- Kurzer Bericht zu Funden, Änderungen und weiterer Kontrolle
Wann eine Neuinstallation sicherer ist
Wenn der Angreifer Root-Zugriff hatte oder die Integrität der Systemdateien nicht bestätigt werden kann, wäre eine zuverlässige manuelle Bereinigung kein ehrliches Versprechen. Dann ist ein sauberer Neuaufbau mit Migration geprüfter Daten sicherer.
Häufige Fragen
Was unterscheidet Server- von Website-Bereinigung?
Bei einer Website werden CMS-Dateien und Datenbank geprüft. Beim Server kommen Prozesse, Benutzer, SSH-Schlüssel, cron, systemd, Netzwerkverbindungen und weitere Websites hinzu.
Kann ein VPS ohne Neuinstallation bereinigt werden?
Teilweise, wenn der Vorfall auf eine Website oder einen Benutzer begrenzt ist. Bei Root-Kompromittierung ist ein sauberer Neuaufbau sicherer.
Welche Zugänge werden benötigt?
Meist SSH mit ausreichenden Rechten, das Control Panel und Hosting-Informationen. Zugänge werden privat übermittelt und danach geändert.
Wie lange dauert die Arbeit?
Umfang und Zeitrahmen nenne ich nach der ersten Prüfung. Ein begrenzter Vorfall kann einige Stunden dauern, systemweite Persistenz entsprechend länger.
Gibt es eine Garantie gegen jeden künftigen Hack?
Nein. Ich entferne gefundene Persistenz, schließe den ermittelten Einstieg und liefere konkrete Maßnahmen für Monitoring und Härtung.
Vorfall prüfen
Beschreiben Sie, was auf dem Server passiert
Nennen Sie Linux-Distribution oder Panel, Symptome, Zahl der Websites und Hoster-Meldung. Keine Passwörter in das Formular schreiben.