Kort sagt: En kryptominer på servern visar sig oftast genom ständigt hög CPU-belastning utan synlig orsak, genom främmande processer, ofta under webbserveranvändaren, och genom utgående anslutningar till okända mål. Avsluta inte processen förhastat: säkra först spår, sök de mekanismer som startar om den och stäng ingångsvägen. En miner betyder att någon kunde köra kod på er server.
När molnleverantörens räkning är den första varningen
Ofta märks en kryptominer inte genom ett säkerhetslarm, utan i förbigående. Webbplatsen blir seg, hostern meddelar en överskriden datortid, fläkten i det egna datacentret går ständigt, eller faktureringen hos molnleverantören stiger utan nya projekt. För angripare är en miner ett enkelt sätt att tjäna pengar på en komprometterad server.
Mining betyder att utnyttja ett främmande systems datorkraft för att skapa kryptovaluta. Skadan förefaller överskådlig, eftersom inga data krypteras. Det bedrar: den som kan starta en miner kan också läsa inloggningsuppgifter, kopiera databaser och skapa fler bakdörrar.
Efter PHP2Shell lönar kontrollen sig särskilt. Sårbarheterna CVE-2026-109618 och CVE-2026-109619 tillåter körning av skadlig kod utan inloggning. Bekräftade Indicators of Compromise finns inte, och en miner är inget specifikt tecken på de här sårbarheterna. Hög belastning från okända processer hör dock till de allmänna tecken som beskrivs under Är jag redan komprometterad?.
Tolka tecknen på en kryptominer rätt
Hög belastning har många ofarliga orsaker. Tabellen hjälper vid den första bedömningen:
| Iakttagelse | Möjlig ofarlig förklaring | Vad ni kontrollerar |
|---|---|---|
| CPU ständigt nära full belastning | säkerhetskopia, bildbehandling, indexbygge | Är belastningen jämn även på natten och helgen? |
| Process med namn som en systemtjänst | sällan | Ligger programfilen i den förväntade systemsökvägen? |
Process under www-data, apache eller nginx som inte är PHP |
knappast | Vem har startat den, från vilken mapp? |
Program i /tmp, /var/tmp eller /dev/shm |
knappast | Sedan när finns filen, vem äger den? |
| Varaktig utgående anslutning till ett okänt mål | övervakning, uppdateringar | Hör målet till en känd tjänst? |
| Belastningen sjunker så fort ni loggar in | sällan | Vissa skadeprogram pausar när övervakningsverktyg körs |
Ju fler rader som stämmer, desto sannolikare är ett fynd. Att webbserveranvändaren överhuvudtaget startar främmande program är i sig en stark varningssignal, som inlägget Webbservern startar ett skal visar.
Så kontrollerar ni processer och anslutningar
Kommandona nedan läser bara. Notera resultat och klockslag innan ni ändrar något:
# Processer efter CPU-förbrukning, med användare, starttid och fullständigt kommando
ps -eo pid,ppid,user,lstart,%cpu,%mem,args --sort=-%cpu | head -20
# Programfil och arbetskatalog för en misstänkt process (sätt in PID)
sudo ls -l /proc/PID/exe /proc/PID/cwd
# Utgående anslutningar med process
sudo ss -tnp state established
# Körbara filer i temporära mappar
sudo find /tmp /var/tmp /dev/shm -type f -perm -u+x -ls 2>/dev/null
Pekar /proc/PID/exe på en fil med tillägget (deleted) raderades programmet efter starten. Det är ett typiskt försök till maskering. Processen körs vidare, och så länge den körs går programfilen ännu att säkra via /proc. Det bör tas om hand av någon som kan hantera skadeprogram; kör aldrig filen.
Hur ni systematiskt går igenom processer utöver minern beskrivs i Hitta misstänkta processer på Linux-servrar.
Varför minern alltid kommer tillbaka
Många driftansvariga avslutar processen, gläds åt den sjunkande belastningen och upptäcker nästa dag att allt börjar om. Miners installeras nästan alltid med en omstartsmekanism. Typiska platser är:
- Cronjobb för webbserveranvändaren eller systemomfattande, som med några minuters mellanrum kontrollerar om minern körs och annars laddar ned den på nytt.
- Systemtjänster med anonyma namn som startar vid uppstart.
- En webbshell i webbkatalogen, via vilken angriparen när som helst startar om minern.
- Ändrade startskript eller användares profilfiler.
- Främmande SSH-nycklar med vilka angriparen loggar in direkt igen.
# Webbserveranvändarens cronjobb och systemomfattande poster
sudo crontab -u www-data -l
ls -la /etc/cron.d /etc/cron.hourly /var/spool/cron 2>/dev/null
# Senast ändrade systemd-units
sudo find /etc/systemd/system /lib/systemd/system -name '*.service' -newermt "2026-10-17" -ls
Först när alla mekanismer är funna förblir servern varaktigt lugn. Hade angriparen root-rättigheter är en nyuppbyggnad på ett fräscht system oftast mer tillförlitlig än sökandet efter varje gömställe.
Rätt ordning efter fyndet
En miner ser ut som ett tekniskt besvär, men är en säkerhetsincident. Gå därför ordnat tillväga:
- Säkra: Kopiera processlista, anslutningar, misstänkta filer och loggar med kontrollsumma innan något avslutas.
- Begränsa: Isolera servern eller spärra utgående anslutningar, om det går utan dataförlust.
- Stäng orsaken: Ta PHP till en rättad nivå (8.5.12, 8.4.27, 8.3.36, 8.2.35 eller bekräftad backport), starta om alla workers, uppdatera CMS och tillägg.
- Sanera eller bygg upp på nytt: Ta bort miner, omstartsmekanismer och bakdörrar, sätt vid tvivel upp på nytt.
- Kontrollera följderna: Kunde inloggningsuppgifter eller personuppgifter läsas? Klargör då dataskydd och i förekommande fall anmälningsskyldigheter.
Ta tidigt med er hoster eller molnleverantör. Många leverantörer spärrar förebyggande servrar med uppseendeväckande belastning eller nätverkstrafik. Den som själv informerar leverantören och samordnar tillvägagångssättet behåller oftare kontrollen över tidpunkten för avstängningen. Fråga då också efter leverantörens nätverks- och åtkomstloggar, för de ligger utanför er server och är svåra för en angripare att förändra.
För ledningen är en kort, ärlig bedömning viktig: minern själv kostar framför allt datortid och prestanda. Den egentliga frågan är dock vad angriparen dessutom har sett. Tills det är klarlagt bör incidenten inte anses avslutad, även om belastningen är normal igen.
En kryptominer visar att kod har körts på er server. Behandla alla inloggningsuppgifter som låg på servern som möjligen läckta, och förnya dem efter saneringen.
Hur hjälper PHP SOS konkret?
- Vi placerar belastningen och skiljer mellan ofarliga orsaker och främmande processer.
- Vi säkrar processer, filer och anslutningar innan minern avslutas.
- Vi söker alla omstartsmekanismer och bakdörrar och sanerar servern inom ramen för skadeprogramborttagningen eller bygger upp den på nytt.
- Vi stänger ingångsvägen, förnyar åtkomster och sätter upp en belastningsövervakning som tidigt meddelar ovanliga mönster.
Vanliga frågor
Hur känner jag igen en kryptominer på min server?
Typiskt är en ständigt hög CPU-belastning som inte passar till besökssiffror eller schemalagda uppgifter. Dessutom förekommer processer med okända eller harmlöst klingande namn, ofta under webbserveranvändaren, och utgående anslutningar till främmande adresser. Ett enskilt kännetecken är ännu inget bevis.
Räcker det att avsluta mining-processen?
Nej. Miners startas oftast om och om igen via cronjobb, systemtjänster eller en webbshell. Den som bara avslutar processen ser den ofta igen en kort tid senare. Dessutom förblir ingångsvägen öppen som minern kom in på servern genom.
Är en kryptominer ofarlig eftersom den bara stjäl datorkraft?
Nej. Den som kunde installera en miner kunde köra kod på servern. Därmed var som regel också konfigurationsfiler, inloggningsuppgifter och databaser nåbara. Minern är det synliga symptomet på ett intrång.
Vilka ofarliga orsaker kan en hög serverbelastning ha?
Säkerhetskopior, bildbehandling, uppbyggnad av sökindex, aggressiva crawlers eller ett felaktigt tillägg kan också förbruka mycket datorkraft. Dessa orsaker går oftast att koppla till en känd process och ett känt schema. Förblir belastningen oförklarad bör ni kontrollera noggrannare.