Hosting cPanel infectat cu miner și worm, curățat fără downtime

Context

Un server de hosting partajat cu șaisprezece site-uri de clienți, rulând cPanel peste AlmaLinux. Performanță degradată și trafic ieșit anormal.

Problema

Serverul rula un miner și, în plus, un worm care scana internetul după alte instalări cPanel vulnerabile — adică serverul clientului ataca activ alte sisteme. Persistența era instalată în cinci mecanisme diferite, iar o parte din binarele suspecte erau de fapt componente legitime ale serverului web.

Ce am făcut

1. 01Inventarul complet al proceselor, conexiunilor ieșite și al fișierelor modificate recent
2. 02Eliminarea persistenței din cron, scripturi de profil, fișiere de shell, unități systemd și servicii SysV
3. 03Separarea explicită a falselor pozitive — binare legitime ale serverului web care arată ca malware la orice scanare automată
4. 04Oprirea worm-ului și blocarea traficului de scanare ieșit
5. 05Verificarea site-urilor găzduite pentru webshell-uri și fișiere injectate