XMRig и подозрительные файлы появляются на моем VPS даже после переустановки ОС, усиления безопасности брандмауэра и без

XMRig и подозрительные файлы появляются на моем VPS даже после переустановки ОС, усиления безопасности брандмауэра и без ⇐ Linux

1 сообщение • Страница 1 из 1

Anonymous

XMRig и подозрительные файлы появляются на моем VPS даже после переустановки ОС, усиления безопасности брандмауэра и без

Цитата

Сообщение Anonymous » 11 дек 2025, 09:09

Я сталкиваюсь с повторяющейся проблемой безопасности на моем Ubuntu VPS (Hostinger).

Даже после нескольких переустановок ОС и полного усиления безопасности остается вредоносный файл криптомайнинга (

Код: Выделить всё

xmrig

) и другие подозрительные файлы (

Код: Выделить всё

kal

, next.tar.gz) продолжают появляться в папке моего развернутого проекта Next.js.
Вот график и то, что я сделал на данный момент:

1. Чистая переустановка и меры безопасности
После первого обнаружения xmrig я полностью переустановил ОС на VPS и сделал следующее:

Отключил root-вход по SSH
Создал нового пользователя с привилегиями sudo
Отключена аутентификация по паролю (только ключи SSH)
Изменен порт SSH
Включен брандмауэр UFW (только 80, 443 и мой SSH-порт открыт)
Включен брандмауэр панели Hostinger (только 80, 443, порт SSH открыт)
Установлен Fail2Ban
Установлен Node.js через NVM
Установлен свежий Nginx + Certbot
Повторно развернул интерфейсное приложение Next.js.
Запустил его с PM2, используя файл экосистемы.config.js.

После развертывания сайт работал нормально, но через 20–30 минут произошло следующее:

На сайте показано 502 Bad Gateway
Код: Выделить всё
```
xmrig
```
, kal и next.tar.gz внезапно появляются в папке моего проекта
Журналы PM2 начинают ссылаться на xmrig
Скачки процессора
Hostinger в конечном итоге приостанавливает работу VPS

Этот шаблон повторяется каждый раз, даже после очередной переустановки ОС.

2. Проверены распространенные векторы атак
Я убедился, что:

Никакие порты, такие как 3000, 3001, 3003 и т. д., не открыты
Код: Выделить всё
```
ss -tulpn
```
показывает только порт 80, 443 и мой SSH-порт открыт.
Нет подозрительных заданий cron.
Нет необычных системных служб.
Нет процессов PM2, кроме моего приложения.
Нет вредоносных скриптов. package.json
Нет постустановочных сценариев
Нет подозрительных команд в экосистеме.config.js
Папка проекта, клонированная из GitHub, не изначально содержит xmrig или next.tar.gz — они появляются только после развертывания и запуска жить

3. Потенциально важная информация
Мой проект включает в себя несколько маршрутов API в Next.js (

Код: Выделить всё

app/api/.../route.js

), например:

Контактная форма с использованием Google reCAPTCHA (я по ошибке указал NEXT_PUBLIC_RECAPTCHA_SECRET_KEY)
API заявления о приеме на работу, который принимает загрузку файлов (CV/PDF) с помощью formData()
Маршрут, который считывает PDF-файлы с диска и отправляет их через AWS SES.
Маршрут, который считывает загруженные резюме из общедоступных/загрузок и обслуживает их.

Это означает, что мое приложение содержит конечные точки, которые принимают файлы, загруженные пользователем.
Однако я НЕ выполняю сознательно загруженные файлы или запускайте команды оболочки.

4. Основные симптомы

Атака происходит только после запуска сайта
Файлы (
Код: Выделить всё
```
xmrig
```
, kal, next.tar.gz) появляются в каталоге моего развернутого проекта.
Происходит даже при новой переустановке ОС.
Происходит не сразу — только через ~20–30 минут.
Поведение автоматизированного бота активность
Сервер подвергается риску, хотя порты узла не являются общедоступными

5. Мой вопрос
Учитывая, что:

сервер чистый после переустановки ОС
SSH усилен
все порты, кроме 80/443 заблокированы
подозрительных скриптов нет в репозитории
xmrig появляется только после запуска приложения
моё приложение включает маршруты загрузки файлов

Возможно ли, что уязвимость внутри моих маршрутов API Next.js или обработчика загрузки файлов позволяет злоумышленникам загружать и выполнять вредоносные двоичные файлы?
Какие еще векторы атак мне следует проверить внутри приложения Next.js, которое может допускать произвольную запись или выполнение файлов на сервере, даже если сам сервер защищен?
Будем очень признательны за любые рекомендации о том, как определить точное слабое место в моем приложении.

Подробнее здесь: https://stackoverflow.com/questions/798 ... irewall-ha

1765433388

Anonymous

Я сталкиваюсь с повторяющейся проблемой безопасности на моем Ubuntu VPS (Hostinger).

Даже после нескольких переустановок ОС и полного усиления безопасности остается вредоносный файл криптомайнинга ([code]xmrig[/code]) и другие подозрительные файлы ([code]kal[/code], next.tar.gz) продолжают появляться в папке моего развернутого проекта Next.js.
Вот график и то, что я сделал на данный момент:

[b]1. Чистая переустановка и меры безопасности[/b]
После первого обнаружения xmrig я полностью переустановил ОС на VPS и сделал следующее:
[list]
[*]Отключил root-вход по SSH

[*]Создал нового пользователя с привилегиями sudo

[*]Отключена аутентификация по паролю (только ключи SSH)

[*]Изменен порт SSH

[*]Включен брандмауэр UFW (только [b]80[/b], [b]443[/b] и мой SSH-порт открыт)

[*]Включен брандмауэр панели Hostinger (только [b]80[/b], [b]443[/b], порт SSH открыт)

[*]Установлен Fail2Ban

[*]Установлен Node.js через NVM

[*]Установлен свежий Nginx + Certbot

[*]Повторно развернул интерфейсное приложение Next.js.

[*]Запустил его с PM2, используя файл экосистемы.config.js.

[/list]
После развертывания сайт работал нормально, но [b]через 20–30 минут[/b] произошло следующее:
[list]
[*]На сайте показано 502 Bad Gateway

[*][code]xmrig[/code], kal и next.tar.gz внезапно появляются в папке моего проекта

[*]Журналы PM2 начинают ссылаться на xmrig

[*]Скачки процессора

[*]Hostinger в конечном итоге приостанавливает работу VPS

[/list]
Этот шаблон повторяется [b]каждый раз[/b], даже после очередной переустановки ОС.

[b]2. Проверены распространенные векторы атак[/b]
Я убедился, что:
[list]
[*]Никакие порты, такие как 3000, 3001, 3003 и т. д., не открыты

[*][code]ss -tulpn[/code] показывает только порт 80, 443 и мой SSH-порт открыт.

[*]Нет подозрительных заданий cron.

[*]Нет необычных системных служб.

[*]Нет процессов PM2, кроме моего приложения.

[*]Нет вредоносных скриптов. package.json

[*]Нет постустановочных сценариев

[*]Нет подозрительных команд в экосистеме.config.js

[*]Папка проекта, клонированная из GitHub, [b]не[/b] изначально содержит xmrig или next.tar.gz — они появляются только после развертывания и запуска жить

[/list]

[b]3. Потенциально важная информация[/b]
Мой проект включает в себя несколько маршрутов API в Next.js ([code]app/api/.../route.js[/code]), например:
[list]
[*]Контактная форма с использованием Google reCAPTCHA (я по ошибке указал NEXT_PUBLIC_RECAPTCHA_SECRET_KEY)

[*]API заявления о приеме на работу, который принимает [b]загрузку файлов (CV/PDF)[/b] с помощью formData()

[*]Маршрут, который считывает PDF-файлы с диска и отправляет их через AWS SES.

[*]Маршрут, который считывает загруженные резюме из общедоступных/загрузок и обслуживает их.

[/list]
Это означает, что мое приложение содержит конечные точки, которые принимают файлы, загруженные пользователем.
Однако я НЕ выполняю сознательно загруженные файлы или запускайте команды оболочки.

[b]4. Основные симптомы[/b]
[list]
[*]Атака происходит [b]только после запуска сайта[/b]

[*]Файлы ([code]xmrig[/code], kal, next.tar.gz) появляются в каталоге моего развернутого проекта.

[*]Происходит даже при новой переустановке ОС.

[*]Происходит [b]не[/b] сразу — только через ~20–30 минут.

[*]Поведение автоматизированного бота активность

[*]Сервер подвергается риску, хотя порты узла не являются общедоступными

[/list]

[b]5.  Мой вопрос[/b]
[b]Учитывая, что:[/b]
[list]
[*]сервер чистый после переустановки ОС

[*]SSH усилен

[*]все порты, кроме 80/443 заблокированы

[*]подозрительных скриптов нет в репозитории

[*]xmrig появляется только после запуска приложения

[*]моё приложение включает маршруты загрузки файлов

[/list]
[b]Возможно ли, что уязвимость внутри моих маршрутов API Next.js или обработчика загрузки файлов позволяет злоумышленникам загружать и выполнять вредоносные двоичные файлы?[/b]
Какие еще векторы атак мне следует проверить внутри приложения Next.js, которое может допускать произвольную запись или выполнение файлов на сервере, даже если сам сервер защищен?
Будем очень признательны за любые рекомендации о том, как определить точное слабое место в моем приложении. 

Подробнее здесь: [url]https://stackoverflow.com/questions/79843648/xmrig-and-suspicious-files-appear-on-my-vps-even-after-os-reinstall-firewall-ha[/url]