# DDoS ή επίθεση χάκερ; Σωστή αξιολόγηση των επιθέσεων

> DDoS ή επίθεση χάκερ; Τυπικές ενδείξεις σε σύγκριση, πρώτες εντολές ελέγχου για τον διακομιστή και τι πρέπει να κάνετε συγκεκριμένα τις πρώτες ώρες.

Πηγή: https://phpsos.de/el/ratgeber/ddos-oder-exploit/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν συντομία:** Το αν πρόκειται για DDoS ή επίθεση χάκερ φαίνεται από τα ίχνη. Ένα DDoS παράγει πάρα πολλά αιτήματα και κάνει τον ιστότοπο αργό ή απρόσιτο, δεν αλλάζει όμως τίποτα. Ένα exploit χρειάζεται συχνά μόνο λίγα αιτήματα και αφήνει νέα αρχεία, λογαριασμούς, διεργασίες ή συνδέσεις. Η σωστή αξιολόγηση καθορίζει αν πρέπει να αποκρούσετε φορτίο ή να περιορίσετε ένα περιστατικό.

## Η διαφορά με απλά λόγια

Μια **επίθεση DDoS** (Distributed Denial of Service) μοιάζει με ένα πλήθος που μπλοκάρει την είσοδο ενός καταστήματος. Κανείς δεν μπαίνει μέσα, αλλά στο κατάστημα δεν κλέβεται τίποτα. Στόχος είναι να υπερφορτωθεί ο ιστότοπος ή ο διακομιστής σας, ώστε οι πραγματικοί πελάτες να μην περνούν.

Ένα **exploit** είναι αντίθετα μια διάρρηξη από μια ανοιχτή πόρτα. Ο επιτιθέμενος εκμεταλλεύεται μια αδυναμία, π.χ. στην PHP, στο CMS ή σε μια επέκταση, για να εκτελέσει κώδικα στον διακομιστή σας. Αυτό μπορεί να συμβεί αθόρυβα, χωρίς ο ιστότοπος να γίνει πιο αργός. Οι συνέπειες εκτείνονται από σελίδες spam και κλοπή δεδομένων έως την κατάληψη του διακομιστή.

Για τη διοίκηση η διαφορά είναι αποφασιστική: ένα DDoS είναι πρόβλημα διαθεσιμότητας που τελειώνει με την επίθεση. Ένα επιτυχημένο exploit είναι περιστατικό ασφαλείας που παραμένει μέχρι να εντοπιστεί, να καθαριστεί και να τεκμηριωθεί.

## DDoS ή επίθεση χάκερ: οι ενδείξεις σε σύγκριση

Ο παρακάτω πίνακας βοηθά στην πρώτη αξιολόγηση. Δεν αντικαθιστά μια ανάλυση, δείχνει όμως πού πρέπει να κοιτάξετε πρώτα.

| Χαρακτηριστικό | Μάλλον DDoS | Μάλλον exploit ή εισβολή |
|---|---|---|
| Προσβασιμότητα | αργή ή εκτός λειτουργίας | συχνά κανονική |
| Αιτήματα στο log | πάρα πολλά, συχνά ομοιόμορφα | λίγα, στοχευμένα αιτήματα |
| Αρχεία | αμετάβλητα | νέα ή τροποποιημένα αρχεία PHP |
| Λογαριασμοί | αμετάβλητοι | νέοι διαχειριστές, αλλαγμένοι κωδικοί |
| Διεργασίες | διακομιστής ιστού και PHP σε πλήρες φορτίο | άγνωστες διεργασίες, mining, αποστολή spam |
| Δίκτυο | πολλή εισερχόμενη κίνηση | ασυνήθιστες εξερχόμενες συνδέσεις |
| Μετά το τέλος | όλα όπως πριν | τα ίχνη παραμένουν |

Προσοχή στις επικαλύψεις: η μαζική σάρωση για μια ευπάθεια μπορεί να μοιάζει με μικρό DDoS. Ακριβώς αυτό αναμενόταν γύρω από το PHP2Shell, όταν οι επιτιθέμενοι αναζητούσαν ευάλωτους διακομιστές. Το υψηλό φορτίο μπορεί λοιπόν να σημαίνει και ότι κάποιος προσπαθεί ακριβώς εκείνη τη στιγμή να εισβάλει.

## Πρώτοι έλεγχοι στον διακομιστή

Οι παρακάτω εντολές δεν αλλάζουν τίποτα στο σύστημα και δίνουν γρήγορη εικόνα. Αν υπάρχει υποψία εισβολής, διασώστε τα logs προτού προβείτε σε μεγαλύτερες παρεμβάσεις.

```bash
# Φορτίο και χρόνος λειτουργίας
uptime

# Σύνοψη συνδέσεων και οι συχνότεροι αντισυμβαλλόμενοι
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

# Συχνότερες διευθύνσεις πελατών στο access log (προσαρμόστε τη διαδρομή)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# Αρχεία PHP που τροποποιήθηκαν τις τελευταίες 7 ημέρες
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort

# Διεργασίες με το υψηλότερο φορτίο CPU
ps aux --sort=-%cpu | head -15
```

Στην επισκόπηση συνδέσεων η τέταρτη στήλη δείχνει τον αντισυμβαλλόμενο. Πολλές συνδέσεις από λίγες διευθύνσεις ή μια αύξηση σε πολλαπλάσιο της κανονικής τιμής δείχνουν υπερφόρτωση. Νέα αρχεία PHP σε καταλόγους upload ή cache, διεργασίες υπό τον χρήστη του διακομιστή ιστού με ξένα ονόματα ή εξερχόμενες συνδέσεις προς άγνωστους προορισμούς δείχνουν μάλλον εισβολή. Μια αναλυτική λίστα θα βρείτε στη σελίδα [Ενδείξεις παραβίασης μετά το PHP2Shell](https://phpsos.de/el/php2shell/bin-ich-gehackt-anzeichen/).

## Γιατί το υψηλό φορτίο μπορεί να είναι και τακτική εκτροπής

Συμβαίνει οι επιτιθέμενοι να δημιουργούν υπερφόρτωση ενώ ταυτόχρονα εισβάλλουν στοχευμένα. Η ομάδα ασχολείται τότε με τη διαθεσιμότητα και τα πραγματικά ίχνη χάνονται στον θόρυβο των logs. Γι' αυτό ισχύει: ακόμη και όταν ένα DDoS είναι προφανές, ελέγξτε μετά το τέλος του αρχεία, λογαριασμούς και εξερχόμενες συνδέσεις.

Στην περίπτωση του PHP2Shell προστίθεται ότι, σύμφωνα με το php.net και τις εταιρείες ασφαλείας, δεν υπάρχουν δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise. Ο εντοπισμός στηρίζεται στην ανάλυση συμπεριφοράς. Ένας διακομιστής που ήταν χωρίς patch κατά το διάστημα της σάρωσης από τα μέσα Οκτωβρίου, πρέπει γι' αυτό να ελεγχθεί ανεξάρτητα από το παρατηρούμενο φορτίο.

Μια περαιτέρω παραλλαγή είναι τα email εκβιασμού, στα οποία απειλείται επίθεση DDoS αν δεν πληρωθεί κάτι. Φυλάξτε τέτοια μηνύματα, μην πληρώσετε χωρίς συνεννόηση με ειδικούς και εξετάστε μια [καταγγελία στην Zentrale Ansprechstelle Cybercrime (το κεντρικό σημείο επαφής για το έγκλημα στον κυβερνοχώρο, Γερμανία)](https://phpsos.de/el/compliance/anzeige-polizei-zac/). Ενημερώστε παράλληλα τον πάροχο φιλοξενίας, ώστε να προετοιμαστούν μέτρα προστασίας. Πώς αναλύετε τα logs γι' αυτό, αναφέρεται στον οδηγό [Ανάλυση των logs του διακομιστή ιστού μετά από επίθεση](https://phpsos.de/el/ratgeber/logfiles-auswerten/).

## Τι πρέπει να κάνετε τις πρώτες ώρες

**Σε υποψία DDoS:**

- Ενημερώστε τον πάροχο φιλοξενίας ή το κέντρο δεδομένων· εκεί υπάρχουν συχνά φίλτρα πριν από τον διακομιστή.
- Ενεργοποιήστε ή ενισχύστε μια υπηρεσία προστασίας που βρίσκεται μπροστά ή ένα [WAF με εικονικό patching](https://phpsos.de/el/leistungen/waf-virtuelles-patching/).
- Ορίστε rate limits στον διακομιστή ιστού και προστατέψτε ιδιαίτερα δαπανηρές σελίδες όπως η αναζήτηση ή το καλάθι.
- Φυλάξτε τα logs, ώστε η επίθεση να μπορεί να αναπαραχθεί αργότερα.

**Σε υποψία εισβολής:**

- Μη διαγράψετε τίποτα και μη στήσετε ξανά τον διακομιστή προτού διασωθούν τα logs και τα επηρεαζόμενα αρχεία.
- Ενημερώστε την PHP σε διορθωμένη έκδοση και επανεκκινήστε όλους τους workers, αν δεν έχει γίνει ήδη.
- Αν η ενημέρωση δεν είναι άμεσα εφικτή, αποσυνδέστε προσωρινά τον ιστότοπο από το δίκτυο, όπως συνιστά το BSI.
- Ανανεώστε τα διαπιστευτήρια από μια καθαρή συσκευή και όχι από τον διακομιστή που ενδεχομένως επηρεάζεται.
- Αφήστε να ελεγχθεί αν ενδέχεται να επηρεάζονται προσωπικά δεδομένα· τότε μπορεί να τρέχουν προθεσμίες γνωστοποίησης.

Και στις δύο περιπτώσεις βοηθά μια σύντομη, αντικειμενική σημείωση για τον πάροχο και τους παρόχους υπηρεσιών: από πότε υπάρχει το πρόβλημα, ποιοι ιστότοποι επηρεάζονται, τι παρατηρήσατε και τι έχει ήδη αλλάξει. Καταγράψτε επιπλέον ποιος πήρε ποια απόφαση. Αυτό το χρονολόγιο εξοικονομεί χρόνο στην ανάλυση και είναι αργότερα πολύτιμο για την ασφάλιση, την προστασία δεδομένων και την εσωτερική αποτίμηση. Αν δεν είναι σαφές αν υπάρχει καν επίθεση, αντιμετωπίστε την κατάσταση προληπτικά ως περιστατικό, μέχρι να αποδειχθεί το αντίθετο.

## Πώς βοηθά συγκεκριμένα η PHP SOS;

- Αξιολογούμε την κατάσταση απομακρυσμένα με βάση το φορτίο, τα logs, τα αρχεία και τις συνδέσεις και σας λέμε με τι πιθανότατα έχετε να κάνετε.
- Σε υπερφόρτωση ορίζουμε φίλτρα, rate limits και κανόνες προστασίας που βρίσκονται μπροστά, μέχρι να εξασθενήσει η επίθεση.
- Σε υποψία εισβολής αναλαμβάνουμε τη δομημένη [αντιμετώπιση περιστατικών (Incident Response)](https://phpsos.de/el/leistungen/incident-response/): διάσωση, περιορισμός, εύρεση της αιτίας, καθαρισμός.
- Στο τέλος τεκμηριώνουμε τι συνέβη και ποια μέτρα εφαρμόστηκαν, μέχρι να ολοκληρωθεί το περιστατικό.


## Συχνές ερωτήσεις

**Μπορεί μια επίθεση DDoS να κλέψει δεδομένα;**  
Μια καθαρή επίθεση DDoS στοχεύει τη διαθεσιμότητα και όχι τα δεδομένα. Δεν αλλάζει αρχεία και δεν διαβάζει βάσεις δεδομένων. Μπορεί όμως να εμφανιστεί ταυτόχρονα με απόπειρα εισβολής, γι' αυτό αξίζει παρ' όλα αυτά μια ματιά στα αρχεία και στους λογαριασμούς.

**Πώς καταλαβαίνω ότι ο ιστότοπός μου παραβιάστηκε;**  
Τυπικές ενδείξεις είναι νέα ή τροποποιημένα αρχεία PHP, άγνωστοι λογαριασμοί διαχειριστή, ανακατευθύνσεις σε ξένες σελίδες, απροσδόκητες εξερχόμενες συνδέσεις και διεργασίες που δεν ταιριάζουν στην εφαρμογή σας. Μία μεμονωμένη ένδειξη δεν αποτελεί απόδειξη, πολλές μαζί αποτελούν σοβαρό σήμα.

**Βοηθά ένα CDN ή ένα WAF και στα δύο είδη επιθέσεων;**  
Απέναντι σε επιθέσεις βασισμένες στον όγκο, μια υπηρεσία που βρίσκεται μπροστά βοηθά συνήθως καλά. Απέναντι σε exploits οι κανόνες λειτουργούν μόνο αν αναγνωρίζουν το μοτίβο. Στο PHP2Shell η Cloudflare επισημαίνει η ίδια ότι οι κανόνες με βάση μόνο τα δεδομένα του αιτήματος δεν αρκούν.

**Πρέπει να γνωστοποιήσω μια επίθεση DDoS;**  
Αυτό εξαρτάται από τη συγκεκριμένη περίπτωση και τον κλάδο σας. Χωρίς πρόσβαση σε προσωπικά δεδομένα η υποχρέωση γνωστοποίησης βάσει ΓΚΠΔ κατά κανόνα δεν ισχύει, μπορεί όμως να υπάρχουν υποχρεώσεις ειδικές για τον κλάδο. Ξεκαθαρίστε το με τον υπεύθυνο προστασίας δεδομένων ή με δικηγόρο.

## Πηγές

- [BSI: Εικόνα κατάστασης και συστάσεις (Γερμανία)](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [php.net: Ανακοινώσεις ασφαλείας](https://www.php.net/)