Наш VPS используется как Warez mule [дубликат]

не контролируя код (Вы используете пользовательское программное обеспечение хранилища?), Вы не можете знать, существует ли ошибка, это используется (и даже если Вы не нашли ничего, что не означает, что это не там). Вы используете пользовательский код SQL, например? С проверкой исправности и очисткой входа?

Я предполагаю, что все Ваши системы полностью актуальны? Вредоносные проверки? Актуальный антивирус?

После того как кто-то взламывает систему, у них мог быть rootkitted она. Неважно, как Вы вставляете изменения пароля или изменения, если что-то в системе было изменено для предоставления закулисного доступа, Вы не собираетесь не пускать его. К тому же это могло регистрировать Ваши изменения пароля и нажатия клавиш, таким образом, Вы просто подаете больше паролей взломщику.

Можно вставить аудит для наблюдения, куда соединения прибывают из, но я сомневаюсь, что это поможет heckuva партии.

В конце необходимо рассмотреть очистку и переустановить с нуля. Это - единственный способ, которым можно доверять установке снова и знать, что это чисто из троянского кода, так как заражение может замаскировать себя, после того как это сознает ситуацию.

Более страшный при взятии кредитных карт эта информация могла бы становиться сильно ударенной, и Вы будете ответственны за то, что сильно ударили клиентские идентификационные данные. Если Вы находитесь в США, это имеет разветвления, где необходимо уведомить покупателей возможного хищения личных данных.

Если это - сервер, который обрабатывает что-либо включающее деньги, Вы, возможно, должны были бы полагать, что вызов в подрядчиках контролирует систему. Возьмите изображения системы для судебного использования и вытрите и переустановите. Чем дольше Вы ожидаете, тем больше ответственности Вы открываете себя для.

Чтобы ответить, как это происходит, если сервер является выделенным сервером, он мог бы взламывать что-то в Вашей витрине (Внедрение SQL, например) уязвимость в Windows, не исправленном что-нибудь веб-обзор с той системой? "Диск" загрузчиками с веб-сайта. Запущенное программное обеспечение на нем это не от системы? Возможно, был заражен чем-то. Слабые пароли. Контролируйте их когда-нибудь? И существует возможность, что Вы не будете легко знать, как они сделали это. Мои ставки находятся на программном обеспечении для электронной торговли, особенно если это - ниша, поскольку для разработчиков легко не убрать вход от URL и открыть его для инжекционных нападений. Или если это использует PHP, открытый для внешнего интерфейса; Вы действительно совершенствуете это? Вы не упоминаете, использует ли это что-то как php интерфейс администрирования, но неаккуратное кодирование php может добавить легкий вектор атаки также.

Если Вы в общей сумме убытков того, как бороться с этим, серьезно, нанять помощь извне. Никакой позор в получении справки и эмпирического правила не то, что, после того как Вы взламываетесь, Вы не МОЖЕТЕ быть уверены, что это фиксируется, и если данные о клиентах текут в той системе, Вы открываете себя для ответственности и вредите невинным клиентам. Плюс то, если та система не отгорожена перегородкой от других систем в сети, она могла бы попытаться прервать данные другой системы.

Прежде всего я думаю, что Вы найдете, что существует по крайней мере три человека с доступом к VPS, не просто два, о которых Вы знаете. Я полагаю, что система была взломана и принята. Я также подозреваю, что это теперь размещает файлы для сети P2P, наиболее вероятных потоков. У Вас мог быть поиск *.torrent файлы, но они, вероятно, скрыты от Вашего представления так или иначе.

Вы больше не контролируете систему. Они просто оставили Вас с той иллюзией. Разве они не были так небрежны, чтобы израсходовать все это дисковое пространство, для которого они могут иметь далеко с ним намного дольше. Кстати, даже элементарная система контроля должна была предупредить Вас к уменьшению дискового пространства.

В этой точке необходимо послушать совет Bart и собрать данные судебной экспертизы в форме системного снимка. Затем вытрите его полностью и переустановите с нуля. Ваши резервные копии в этой точке, вероятно, бесполезны, поскольку у Вас нет реального способа знать, когда взламывание произошло.

Необходимо посмотреть на то, что может быть сделано для лучше обеспечения недавно восстановленной системы. В этом отношении я рассмотрел бы восстановление его на новом хосте и продолжил бы использовать существующий, пока это не готово, затем сделайте сокращение-.