Пришло письмо от провайдера о жалобах на спам с вашего IP, сервер внезапно загружен на сто процентов или в списке пользователей появился незнакомый логин. Что делать в первые минуты, чтобы не сделать хуже и не потерять следы? Ниже — спокойный порядок действий на первый час для владельца или ответственного сотрудника, а не для специалиста по расследованиям.
Коротко
- Не удаляйте сервер и не переустанавливайте систему сразу: вместе с вирусом исчезнут следы и, возможно, данные, которые ещё можно спасти.
- Первым делом смените пароль от личного кабинета провайдера с чистого компьютера и включите второй фактор входа.
- Сообщите провайдеру, что знаете о проблеме и разбираетесь. Это часто позволяет избежать полной блокировки.
- Сохраните доказательства: письма, снимки экрана, время событий. Если возможно — сделайте копию диска сервера в текущем состоянии.
- Восстанавливайте работу на чистом сервере из копии, сделанной до взлома, а не «лечите» заражённый.
Признаки, что с VDS что-то не так
Взлом редко выглядит как в кино. Обычно это одно или несколько косвенных признаков:
- Письмо от провайдера о жалобе (на профессиональном языке — abuse): с вашего адреса идёт спам, перебор паролей к чужим серверам или атака на другие сайты.
- Процессор постоянно загружен, хотя ночью на сервере никто не работает. Частая причина — программа для добычи криптовалюты, которую подбросили злоумышленники.
- Резко вырос исходящий трафик или пришёл счёт за превышение трафика.
- Незнакомые учётные записи, программы или задачи по расписанию, которые никто не создавал.
- Письма компании перестали доходить до клиентов: IP сервера попал в чёрные списки почтовых систем.
- Файлы не открываются и у них странные расширения, а рядом лежит записка с требованием выкупа. Это шифровальщик — отдельная тяжёлая ситуация, с ней порядок первого часа тот же, но к специалистам стоит обращаться сразу.
Один признак ещё не доказывает взлом: нагрузку может дать и обычная ошибка программы. Но если признаков два и больше, действуйте по плану ниже.
Чего не делать в первый час
- Не переустанавливать систему и не удалять сервер. Это уничтожит следы, по которым можно понять, как злоумышленник попал внутрь, и вы рискуете повторить ту же ошибку на новом сервере.
- Не восстанавливать сервер из вчерашней копии поверх текущего. Взлом мог произойти неделю назад, и вчерашняя копия тоже заражена.
- Не менять пароли с того же сервера или с компьютера, на котором могли перехватить старые.
- Не вести переписку о взломе через почту на этом же сервере.
- Не платить выкуп и не вступать в переговоры с вымогателями без консультации со специалистами.
Порядок действий: первый час
- Зафиксируйте, что видите. Сделайте снимки экрана: письмо провайдера, графики нагрузки, список пользователей, странные файлы. Запишите время, когда заметили проблему. Это нужно и для расследования, и для разговора с провайдером.
- Закройте главный вход. С заведомо чистого компьютера смените пароль от личного кабинета провайдера и включите двухфакторный вход, если его не было. Через кабинет можно удалить сервер и все копии, поэтому это первый приоритет.
- Сообщите провайдеру. Ответьте на письмо о жалобе или напишите в поддержку: что заметили, что уже предприняли, что ищете причину. Провайдеры обычно реагируют на активность владельца спокойнее, чем на молчание. Уточните, могут ли они временно ограничить исходящий трафик вместо полной блокировки.
- Остановите вред. Если сервер рассылает спам или атакует других, его нужно изолировать: отключить сеть через панель провайдера, остановить почтовую службу или выключить сервер. Выбор зависит от того, насколько критична его работа прямо сейчас. Помните, что выключение стирает содержимое памяти, которое иногда нужно для расследования.
- Сохраните состояние. Если панель позволяет, сделайте снимок или копию диска сервера в текущем виде. Это «улика», которую специалист изучит позже, и страховка для данных, которые ещё не были скопированы.
- Позовите того, кто будет разбираться. Своего администратора, подрядчика или специалиста по безопасности. Передайте ему всё, что зафиксировали в первом шаге.
- Предупредите своих. Сотрудникам — что сервер временно недоступен и что нельзя вводить пароли, если вдруг появятся странные окна входа. Если пострадала почта — что письма с вашего домена могли рассылаться не вами.
Пароли от всех систем, которые использовались на сервере, — почты, баз данных, сайта, банковских программ, внешних сервисов — считайте скомпрометированными. Менять их нужно все, а не только пароль администратора.
Что делать после первого часа
Когда непосредственный вред остановлен, начинается восстановление. Обычно в таком порядке:
- Специалист выясняет, как злоумышленник попал на сервер: подобранный пароль, уязвимая программа, утёкший доступ подрядчика.
- Определяется, когда это случилось, и выбирается резервная копия, сделанная заведомо раньше.
- Поднимается новый, чистый сервер с актуальной системой и обновлениями.
- На него переносятся данные из проверенной копии. Программы ставятся заново, а не копируются с заражённого сервера.
- Закрывается причина взлома: меняются все пароли, убираются лишние открытые входы, отключаются старые учётные записи.
- Старый сервер удаляется только после того, как всё перенесено и следы изучены.
Если своего специалиста нет, а сервер нужно не только поднять заново, но и правильно защитить, это можно поручить подрядчику — например, заказать настройку серверов Windows и Linux на новом VDS.
Если на сервере были персональные данные
Если на взломанном сервере хранились данные клиентов или сотрудников — ФИО, телефоны, адреса, паспортные данные, — утечка может касаться закона «О персональных данных». Статья 21 этого закона обязывает оператора, то есть компанию, которая обрабатывает данные, уведомлять уполномоченный орган (Роскомнадзор) о неправомерной или случайной передаче персональных данных, которая нарушила права людей. Сроки и порядок уведомления смотрите в актуальном тексте закона и обсудите с юристом как можно раньше: они короткие, и откладывать этот вопрос до конца технического разбора не стоит.
Таблица: кто что делает
| Действие | Кто делает | Когда |
|---|---|---|
| Смена пароля кабинета провайдера, второй фактор | Владелец или руководитель | Сразу |
| Ответ провайдеру на жалобу | Владелец или ответственный | Первый час |
| Изоляция сервера, сохранение состояния | Администратор, при его отсутствии — владелец через панель | Первый час |
| Поиск причины | Администратор или специалист | Первые сутки |
| Вопрос о персональных данных | Руководитель и юрист | Как можно раньше |
| Новый сервер и восстановление из копии | Администратор или подрядчик | После поиска причины |
Частые вопросы
Провайдер заблокировал сервер из-за спама. Как его вернуть
Напишите в поддержку, опишите, что предприняли, и попросите временный доступ для устранения проблемы, например только через консоль в панели. Обычно провайдеры идут навстречу, если видят, что владелец разбирается, а не игнорирует жалобы.
Можно ли просто удалить вирус и работать дальше
Не рекомендуется. Вы не можете быть уверены, что нашли всё, что оставил злоумышленник: дополнительные учётные записи, задачи по расписанию, изменённые программы. Надёжнее перенести данные на чистый сервер.
Как понять, что резервная копия не заражена
Нужно определить примерное время взлома по журналам и признакам и взять копию, сделанную раньше. Даже тогда после восстановления стоит проверить систему и сменить все пароли. Поэтому полезно хранить копии с глубиной в несколько недель.
Как понять, что взлом не повторится
Только устранив причину. Если сервер взломали через подобранный пароль, а на новом сервере пароль тот же и вход открыт для всего интернета, история повторится. Поэтому разбор причины — обязательная часть восстановления, а не формальность. После него полезно записать, что изменили, и проверить это через месяц.
IP сервера попал в чёрные списки. Что делать
Сначала устранить причину — без этого из списков вас быстро вернут обратно. Затем подать заявки на удаление в те списки, куда попал адрес: у каждого есть своя процедура на официальном сайте.