Go achomair: Is minic a bhíonn kryptominer ar an bhfreastalaí le feiceáil trí ualach CPU ard buan gan chúis inaitheanta, trí phróisis choimhthíocha, go minic faoi úsáideoir an fhreastalaí gréasáin, agus trí naisc amach chuig spriocanna anaithnide. Ná stop an próiseas go tapa: cosain rianta ar dtús, lorg na sásraí a atosaíonn é agus dún an poirtín isteach. Ciallaíonn miner gur fhéad duine cód a rith ar do fhreastalaí.
Nuair is é bille an tsoláthraí scamall an chéad rabhadh
Is minic nach dtugtar faoi deara kryptominer trí aláram slándála, ach le linn rud éigin eile. Éiríonn an suíomh gréasáin mall, tuairiscíonn an soláthraí óstála go ndearnadh an t-am ríomhaireachta a shárú, ritheann an lucht leanúna san ionad sonraí féin i gcónaí, nó méadaíonn an bille ag an soláthraí scamall gan tionscadail nua. D'ionsaitheoirí, is bealach simplí é miner chun airgead a dhéanamh as freastalaí sáraithe.
Ciallaíonn mianadóireacht cumhacht ríomhaireachta córais choimhthígh a úsáid chun cripteavaluta a ghiniúint. Is cosúil go bhfuil an damáiste inmharthana, mar nach gcriptítear aon sonraí. Tá sin míthreorach: an té a fhéadann miner a thosú, is féidir leis sonraí rochtana a léamh, bunachair sonraí a chóipeáil agus cúldoirse eile a chruthú freisin.
Tar éis PHP2Shell is fiú an tseiceáil go háirithe. Ligeann na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 cód mailíseach a rith gan logáil isteach. Níl aon Indicators of Compromise deimhnithe ann, agus ní comhartha sonrach de na leochaileachtaí seo é miner. Ach baineann ualach ard ó phróisis anaithnide leis na comharthaí ginearálta a ndéantar cur síos orthu faoi An bhfuil mé sáraithe cheana?.
Comharthaí kryptominer a léirmhíniú i gceart
Tá go leor cúiseanna neamhdhíobhálacha le hualach ard. Cabhraíonn an tábla leis an gcéad aicmiú:
| Breathnóireacht | An bhféadfadh míniú neamhdhíobhálach a bheith ann | Cad a sheiceálann tú |
|---|---|---|
| CPU beagnach lánúsáidte go buan | Cúltaca, próiseáil íomhánna, innéacs a thógáil | An bhfuil an t-ualach ann san oíche agus ag an deireadh seachtaine go cothrom freisin? |
| Próiseas le hainm cosúil le seirbhís chórais | annamh | An bhfuil an comhad cláir sa chosán córais ionchais? |
Próiseas faoi www-data, apache nó nginx nach PHP é |
ar éigean | Cé a thosaigh é, as cén fillteán? |
Clár in /tmp, /var/tmp nó /dev/shm |
ar éigean | Ó cathain atá an comhad ann, cé leis é? |
| Nasc amach buan chuig sprioc anaithnid | Monatóireacht, nuashonruithe | An mbaineann an sprioc le seirbhís aitheanta? |
| Laghdaíonn an t-ualach a luaithe a logálann tú isteach | annamh | Cuireann roinnt bogearraí mailíseacha ar sos nuair a ritheann uirlisí faireacháin |
Dá mhéad línte a bhaineann, is dóchúla go bhfuil fáil ann. Go dtosaíonn úsáideoir an fhreastalaí gréasáin cláir choimhthíocha ar chor ar bith, is comhartha rabhaidh láidir é as féin, mar a léiríonn an t-alt Tosaíonn an freastalaí gréasáin sliogán.
Conas próisis agus naisc a sheiceáil
Ní léann na horduithe seo ach. Tabhair faoi deara an toradh agus an t-am sula n-athraíonn tú aon ní:
# Próisis de réir úsáide CPU, le húsáideoir, am tosaithe agus ordú iomlán
ps -eo pid,ppid,user,lstart,%cpu,%mem,args --sort=-%cpu | head -20
# Comhad cláir agus eolaire oibre de phróiseas amhrasach (PID a chur isteach)
sudo ls -l /proc/PID/exe /proc/PID/cwd
# Naisc amach le próiseas
sudo ss -tnp state established
# Comhaid inrite i bhfillteáin shealadacha
sudo find /tmp /var/tmp /dev/shm -type f -perm -u+x -ls 2>/dev/null
Má phointeálann /proc/PID/exe ar chomhad leis an gcur-leis (deleted), scriosadh an clár tar éis tosú. Is iarracht chuimsithe thipiciúil é sin. Leanann an próiseas ag rith, agus fad a ritheann sé, is féidir an comhad cláir a chosaint fós trí /proc. Ba cheart do dhuine a bhfuil taithí aige ar bhogearraí mailíseacha é sin a dhéanamh; ná rith an comhad choíche.
Conas próisis a rith ar bhealach córasach thar an miner, déanann Próisis amhrasacha a aimsiú ar fhreastalaithe Linux cur síos air.
Cén fáth a dtagann an miner ar ais i gcónaí
Stopann go leor oibreoirí an próiseas, bíonn áthas orthu faoin ualach ag laghdú agus faigheann siad amach an lá dár gcionn go dtosaíonn gach rud arís. Suiteáiltear miners beagnach i gcónaí le sásra atosaithe. Is áiteanna tipiciúla iad:
- Cronjobs d'úsáideoir an fhreastalaí gréasáin nó ar fud an chórais, a sheiceálann gach cúpla nóiméad an bhfuil an miner ag rith agus a íoslódálann é ar shlí eile.
- Seirbhísí córais le hainmneacha neamhshuntasacha a thosaíonn le linn tosaithe.
- Webshell san eolaire gréasáin trína n-atosaíonn an t-ionsaitheoir an miner am ar bith.
- Scripteanna tosaithe athraithe nó comhaid próifíle úsáideoirí.
- Eochracha SSH coimhthíocha trína logálann an t-ionsaitheoir isteach arís go díreach.
# Cronjobs d'úsáideoir an fhreastalaí gréasáin agus iontrálacha ar fud an chórais
sudo crontab -u www-data -l
ls -la /etc/cron.d /etc/cron.hourly /var/spool/cron 2>/dev/null
# Units systemd a athraíodh go deireanach
sudo find /etc/systemd/system /lib/systemd/system -name '*.service' -newermt "2026-10-17" -ls
Nuair a bhíonn na sásraí go léir aimsithe, fanann an freastalaí ciúin go buan. Má bhí cearta root ag an ionsaitheoir, is minic go bhfuil atógáil ar chóras úr níos iontaofa ná cuardach ar gach ceo folaigh.
An t-ord ceart tar éis na faighte
Is cosúil le fadhb theicniúil é miner, ach is teagmhas slándála é. Dá bhrí sin téigh ar aghaidh ar bhealach eagraithe:
- Cosaint: Liosta próiseas, naisc, comhaid amhrasacha agus logaí a chóipeáil le suim sheiceála sula stoptar aon ní.
- Cuimsiú: An freastalaí a scaradh nó naisc amach a bhac, má tá sé indéanta gan cailliúint sonraí.
- An chúis a dhúnadh: PHP a thabhairt chuig staid cheartaithe (8.5.12, 8.4.27, 8.3.36, 8.2.35 nó backport deimhnithe), gach oibrí a atosú, CMS agus eisínteachtaí a nuashonrú.
- Glanadh nó atógáil: Miner, sásraí atosaithe agus cúldoirse a bhaint, atógáil i gcás amhrais.
- Iarmhairtí a sheiceáil: An bhféadfaí sonraí rochtana nó sonraí pearsanta a léamh? Ansin cosaint sonraí agus dualgais fógartha a shoiléiriú de réir mar is cuí.
Cuir do sholáthraí óstála nó do sholáthraí scamall ar an eolas go luath. Cuireann a lán soláthraithe freastalaithe le hualach nó trácht líonra suntasach ar sos mar réamhchúram. An té a chuireann an soláthraí féin ar an eolas agus a chomhordaíonn an cur chuige, coinníonn sé smacht níos fearr ar am an múchta. Fiafraigh freisin faoi logaí líonra agus rochtana an tsoláthraí, mar tá siad lasmuigh de d'fhreastalaí agus is deacair d'ionsaitheoir iad a athrú.
Don bhainistíocht tá aicmiú gairid macánta tábhachtach: cosnaíonn an miner féin am ríomhaireachta agus feidhmíocht den chuid is mó. Ach is í an fíorcheist cad eile a chonaic an t-ionsaitheoir. Go dtí go mbeidh sé sin soiléirithe, níor cheart an teagmhas a mheas mar réitithe, fiú má tá an t-ualach gnáth arís.
Léiríonn kryptominer gur ritheadh cód ar do fhreastalaí. Láimhseáil gach sonra rochtana a bhí ar an bhfreastalaí mar shonraí a d'fhéadfadh a bheith sceite, agus athnuaigh iad tar éis an ghlantacháin.
Conas a chabhraíonn PHP SOS go praiticiúil?
- Measaimid an t-ualach agus deighilimid cúiseanna neamhdhíobhálacha ó phróisis choimhthíocha.
- Cosnaímid próisis, comhaid agus naisc sula stoptar an miner.
- Lorgaímid gach sásra atosaithe agus cúldoras agus glanaimid an freastalaí faoi chuimsiú an Bhainte Mailware nó atógaimid é.
- Dúnaimid an poirtín isteach, athnuaimid rochtana agus bunaímid faireachán ualaigh a thuairiscíonn patrúin neamhghnácha go luath.
Ceisteanna coitianta
Conas a aithním kryptominer ar mo fhreastalaí?
Is tipiciúil ualach CPU ard buan nach dtagann le líon cuairteoirí ná tascanna sceidealaithe. Leis sin, próisis le hainmneacha anaithnide nó ainmneacha a chuireann neamhdhíobhálach, go minic faoi úsáideoir an fhreastalaí gréasáin, agus naisc amach chuig seoltaí coimhthíocha. Ní cruthúnas é gné aonair.
An leor an próiseas mianadóireachta a stopadh?
Ní leor. Is minic a thosaítear miners arís agus arís eile trí cronjobs, seirbhísí córais nó webshell. An té nach stopann ach an próiseas, feiceann sé arís é go minic tamall gearr ina dhiaidh sin. Ina theannta sin, fanann an poirtín isteach oscailte trína tháinig an miner ar an bhfreastalaí.
An bhfuil kryptominer neamhdhíobhálach toisc nach ngoideann sé ach cumhacht ríomhaireachta?
Níl. An té a d'fhéadfadh miner a shuiteáil, d'fhéadfadh sé cód a rith ar an bhfreastalaí. Dá bhrí sin bhí comhaid chumraíochta, sonraí rochtana agus bunachair sonraí inrochtana de ghnáth freisin. Is é an miner an comhartha infheicthe de bhriseadh isteach.
Cé na cúiseanna neamhdhíobhálacha le hualach ard freastalaí?
D'fhéadfadh cúltacaí, próiseáil íomhánna, innéacs cuardaigh a thógáil, crawlers ionsaitheacha nó eisínteacht lochtach go leor ama ríomhaireachta a ídiú freisin. Is féidir na cúiseanna seo a cheangal le próiseas agus sceideal aitheanta go hiondúil. Má fhanann an t-ualach gan míniú, ba cheart duit breathnú níos cruinne.