Signes courants d'un VPS compromis : trafic sortant inhabituel, CPU à 100 % en continu, processus inconnus, ou avis d'abus envoyé par le centre de données. Si vous suspectez une intrusion, suivez les étapes ci-dessous dans l'ordre.

1. Confirmer qu'il s'agit bien d'une compromission

last            # connexions recentes — des IP inconnues ?
w               # qui est connecte actuellement
ps aux --sort=-%cpu | head    # processus suspects gourmands en CPU
ss -tunp        # connexions sortantes inhabituelles
crontab -l; ls /etc/cron.*    # taches planifiees suspectes

2. Réaction immédiate

  • Si nécessaire, restreignez le réseau via la console ou le pare-feu pour couper le trafic sortant (fréquent en cas de minage ou d'attaques émises depuis la machine).
  • Changez immédiatement tous les mots de passe et clés concernés (root, panneaux, bases de données).
  • Tuez les processus suspects ; supprimez les tâches planifiées et éléments de démarrage malveillants.

3. Trouver le point d'entrée

Causes les plus fréquentes : mots de passe faibles avec authentification SSH par mot de passe activée, vulnérabilités non corrigées d'applications web (extensions WordPress, etc.), ou fuite de clés et de fichiers .env. Examinez les journaux d'accès web et applicatifs pour localiser ce qui a été exploité.

4. Nettoyer à fond : réinstaller d'abord

Après une intrusion, l'attaquant peut avoir laissé des portes dérobées ou un rootkit. La voie la plus sûre est de sauvegarder vos données puis de réinstaller le système, plutôt que de supprimer les logiciels malveillants un par un. Restaurez ensuite des données et des configurations saines.

5. Empêcher que cela recommence

  • Connexion SSH par clé, mots de passe désactivés, utilisateur non root.
  • Pare-feu ufw avec un minimum de ports ouverts ; installez fail2ban.
  • Appliquez rapidement les correctifs du système et de toutes les applications et extensions web.
  • Sauvegardez régulièrement ; gardez les clés et les .env hors des dépôts et à l'abri de toute fuite.

Vous soupçonnez un problème sans savoir comment le traiter ? Contactez le service commercial sur Telegram @aliyun370.