Como saber se o servidor foi invadido: 9 sinais para conferir

Servidor invadido raramente avisa. O site continua abrindo, o sistema continua funcionando, e o invasor usa a máquina para minerar criptomoeda, mandar spam ou guardar arquivos de golpe. Estes nove sinais ajudam a perceber antes que o problema apareça no Google ou na conta da hospedagem.

1. Processador ou memória altos sem motivo

Se o uso de CPU fica perto de 100% de madrugada, quando ninguém acessa o site, desconfie. Mineradores de criptomoeda são a forma mais comum de abuso em servidor invadido. Comandos como top ou htop mostram qual processo está consumindo.

2. Processos com nome estranho

Processos com nomes aleatórios, rodando a partir de /tmp ou /dev/shm, ou imitando processos do sistema com uma letra trocada, são suspeitos.

3. Arquivos PHP dentro de pastas de upload

Pastas de imagens e anexos não deveriam ter arquivos executáveis. Um .php dentro de uploads/ é o sinal clássico de webshell, a porta dos fundos que o invasor deixa para voltar quando quiser.

4. Arquivos alterados recentemente que ninguém mexeu

Procure arquivos modificados nos últimos dias em pastas que não deveriam mudar. O comando find /var/www -mtime -3 -type f lista o que foi alterado nos últimos três dias.

5. Usuários e chaves SSH que você não criou

Confira /etc/passwd e o arquivo authorized_keys de cada usuário. Uma chave desconhecida dá acesso permanente, mesmo depois de trocar a senha.

6. Tarefas agendadas desconhecidas

O cron é o lugar preferido para o invasor garantir que o código volte depois de apagado. Revise o crontab de cada usuário e as pastas /etc/cron.*.

7. Milhares de tentativas de login

Os logs de autenticação mostram tentativas de senha no SSH. Ataques automáticos acontecem com todo servidor exposto na internet, mas um login bem-sucedido vindo de um IP desconhecido é motivo de alarme.

8. Tráfego de saída incomum

Servidor que manda muito e-mail ou abre conexões para fora o tempo todo pode estar sendo usado para spam ou ataque a terceiros. A hospedagem costuma avisar, às vezes já suspendendo a conta.

9. Avisos do Google ou do navegador

O relatório de problemas de segurança do Google Search Console e o aviso de navegação segura são o sinal mais tardio: quando aparecem, o problema já atingiu os seus visitantes.

O que fazer se encontrou algum sinal

Não reinicie o servidor nem apague arquivos às pressas, porque isso destrói as pistas de como o invasor entrou. Isole o que for possível, troque as credenciais de acesso e siga o passo a passo de o que fazer quando o site foi hackeado](../site-hackeado-o-que-fazer/). O [CERT.br recebe notificações de incidentes e publica recomendações para administradores de sistemas.

Conferir à mão toda semana não é realista

Quem administra servidor sozinho não tem tempo de rodar essas verificações todos os dias. O Oven Sec faz exatamente isso de forma automática: a cada 12 horas varre arquivos, processos, logs e vulnerabilidades e avisa a equipe pelo canal que você usa. Para uma revisão completa feita por pessoas, veja a blindagem digital. Se achou arquivo suspeito em site WordPress, siga como achar e remover webshell, e para fechar as portas mais comuns, o checklist de segurança de VPS.