Serveur Linux piraté (VPS, dédié, cloud) : que faire, étape par étape

1Isoler le serveur sans l’éteindre

Un arrêt brutal efface la mémoire vive, donc les processus et les connexions en cours, qui sont des preuves. Commencez par couper l’accès pirate au réseau, en gardant le vôtre. Autorisez d’abord votre adresse, sans quoi vous vous enfermez dehors : sudo ufw allow from VOTRE_IP to any port 22 proto tcp, puis sudo ufw default deny incoming, sudo ufw default deny outgoing et sudo ufw enable. Si le pare-feu du serveur est lui-même suspect, utilisez le pare-feu réseau de l’hébergeur, ou passez en mode rescue depuis son espace client.

2Faire un snapshot chez l’hébergeur

Depuis l’interface de l’hébergeur, créez un snapshot ou une image du disque avant toute modification. Il fige l’état du système pour l’analyse, pour un éventuel dépôt de plainte et pour comparer plus tard avec une copie saine. Conservez-le à part, sans le restaurer sur un serveur relié à Internet.

3Relever les connexions et les journaux

Enregistrez vos constats dans un fichier hors du serveur compromis. Commandes utiles :

• last -aiF | head -40 : connexions réussies, avec adresse IP d’origine.
• sudo lastb | head -40 : tentatives échouées.
• sudo grep "Accepted" /var/log/auth.log : connexions acceptées par SSH.
• sudo journalctl -u ssh --since "14 days ago" --no-pager | grep Accepted : la même chose via systemd.
• sudo journalctl -p err -b --no-pager | tail -100 : erreurs depuis le dernier démarrage.

Repérez toute adresse inconnue, toute connexion à une heure où personne ne travaillait, et tout journal vide ou tronqué : un pirate efface parfois ses traces.

4Contrôler comptes, clés SSH et tâches planifiées

• Comptes avec l’UID 0 : awk -F: '($3 == 0) {print $1}' /etc/passwd. Seul root doit apparaître.
• Comptes récents ou avec un interpréteur de commandes : grep -v nologin /etc/passwd.
• Clés SSH : sudo cat /root/.ssh/authorized_keys puis le fichier ~/.ssh/authorized_keys de chaque utilisateur. Toute clé que vous n’avez pas posée est suspecte.
• Planifications : sudo crontab -l, sudo ls -la /etc/cron.d /var/spool/cron/crontabs, et systemctl list-timers --all.
• Services ajoutés : systemctl list-unit-files --state=enabled, et les fichiers récents de /etc/systemd/system.

5Examiner les processus et les connexions réseau

sudo ss -tupn liste les connexions et les processus associés, ps auxf montre l’arborescence des processus. Cherchez un binaire lancé depuis /tmp, /dev/shm ou /var/tmp, une connexion sortante vers une adresse inconnue, un port en écoute que vous n’avez pas ouvert (sudo ss -tlnp). Pour un processus précis, ls -l /proc/PID/exe donne le fichier réellement exécuté. Si un processus consomme tout le processeur, voyez le cas du cryptominer.

6Décider entre nettoyage et réinstallation

Nous vous conseillons la réinstallation dès que le pirate a obtenu les droits root, que vous ne retrouvez pas la porte d’entrée, ou que le serveur porte des données sensibles : on ne peut pas prouver qu’un système compromis est redevenu sain. Le nettoyage n’est raisonnable que sur une intrusion limitée, comprise de bout en bout, avec la faille corrigée. Dans le doute, réinstallez, puis restaurez uniquement les données (base, fichiers), jamais les binaires ni les scripts d’origine douteuse. Vérifiez qu’elles sont saines avant, avec une sauvegarde antérieure à l’intrusion.

7Changer tous les secrets

Depuis un poste sain, renouvelez : les mots de passe et clés SSH (ssh-keygen -t ed25519), les mots de passe de bases de données, les clés d’API et jetons, les fichiers .env, les clés privées de certificats, les accès de l’hébergeur et de la messagerie. Un secret présent sur le serveur doit être considéré comme connu du pirate. Changez-les après l’isolement, sinon il les récupère à nouveau.

8Notifier et porter plainte

Si des données personnelles (clients, salariés) ont pu être consultées ou copiées, la CNIL doit être notifiée dans les 72 heures suivant la prise de connaissance de la violation, sauf si elle n’engendre aucun risque pour les personnes. Inscrivez la violation dans votre registre interne, même sans notification. Déposez plainte auprès de la police ou de la gendarmerie avec vos relevés, et sollicitez l’assistance de Cybermalveillance.gouv.fr.