👁‍🗨 Что вы видите

Вы заходите на сервер и видите десятки «родных» процессов: cron, sshd, syslogd, acpid…

Но они не родные. Они живут в /tmp, запущены из мусорных папок и дружно стучатся на внешний IP через порт 6667 (классика IRC-ботнетов).

Реальность: у вас не просто «подобрали пароль». У вас — полноценная компрометация с ботом-маскировщиком.

🧨 Почему это случилось (главные причины)

🔓 Слабый SSH-пароль Failed password for root / admin — тысячи попыток брутфорса.

🚪 RCE в бэкенде (Node / PHP) Одна команда `curl

📦 Старые сервисы nginx, mongod, pm2 — давно не обновлялись → есть известная CVE.

🔑 Утекший SSH-ключ Приватный ключ в репозитории или общий ключ на всех серверах.

🧩 Заражённый npm-пакет postinstall скрипт скачал бота в /tmp/.zor.

💀 Что произойдёт дальше, если не лечить

· Ваш сервер станет частью DDoS-ботнета — будут атаковать других.

· Процессор уйдёт в криптомайнинг — счёт за ресурсы взлетит.

· Бот откроет постоянный доступ — данные клиентов под угрозой.

Kill -9 не поможет. При перезапуске всё вернётся. Это не вирус — это руткит.

✅ Единственное правильное решение — пересоздать VPS

Никакого «лечения» на месте. Только полное уничтожение и перерождение.

📦 Что можно спасти:

· Код проекта

· Чистые конфиги приложения

· Дамп БД (если БД была на этом же сервере)

· Настройки nginx

🚫 Что нельзя трогать:

· /tmp, /var/tmp, /dev/shm

· Системные бинарники

· Старые systemd unit’ы без проверки

🔁 На новом сервере обязательно заменить:

· SSH-ключ

· Пароль admin

· Пароль БД

· API-ключи и секреты

· .env файл

🧠 Экспертиза IT-Kitchen: мы не дадим вам сделать это дважды

Вы спасли данные и пересоздали VPS. Через месяц — та же картина. Почему?

Потому что не нашли входные ворота.

IT-Kitchen проведёт полный аудит вашего сервера мобильных приложений и сайтов:

·🔐 Проверим SSH-политики (запретим вход по паролю).

🧪 Просканируем npm-пакеты и бэкенд на RCE-дыры.

⚙️ Обновим и настроим nginx, MongoDB, pm2.

🛡️ Настроим мониторинг аномальных исходящих соединений.

Не ждите, пока ваш сервер начнёт атаковать других. Закажите аудит безопасности в IT-Kitchen прямо сейчас.