Dedicated server (dan juga VPS Linux) sering sekali menjadi sasaran hack ataupun malware. Biasanya server ini akan secara ilegal dimanfaatkan untuk menjalankan aplikasi-aplikasi yg merugikan misal sebagai alat denial of service, mining cryptofuckingshit, dsb. Server yg sudah breached alias bobol alias terkena hack biasanya menjalankan aplikasi-aplikasi berbahaya tanpa sepengetahuan sysadmin atau si pemilik, tau-tau aja servernya menjadi tidak responsif, CPU 100% tanpa henti, ram dan bandwidth terkuras dan menyebabkan berbagai error.
Dalam kondisi server sudah tidak responsif atau berat, mencari-cari malwarenya atau mencoba melakukan pembersihan tentu akan rumit dan biasanya tidak berhasil. Oleh karena itu pada postingan ini saya akan bagikan sedikit tips cara mematikan proses yg mencurigakan di dalam server menggunakan sebuah baris command line.
Command ini akan menemukan PID dari aplikasi yg dicurigai dan akan auto-kill supaya tidak running lagi. Nantinya command ini di-set untuk melakukan cek per menit melalui crontab sehingga bilamana aplikasi tsb terdeteksi (meski dg PID yg akan berbeda) dia akan terkena kill, kill lagi dan lagi dan lagi sampai tidak berkutik.
-
- Login dulu ke ssh root server, biasanya meski tidak responsif server masih bisa untuk login walaupun lama dan berat
- Cek dengan teliti apakah ada proses ilegal yg running, gunakan htop atau top atau ps aux. Biasanya nama aplikasi asing yg membebani server bisa dengan mudah dikenali. Sekedar contoh, saya menemukan proses bernama xmrig yg terus menerus running dengan cpu 100%
- Lalu saya bikin sebuah file vim /usr/bin/killxmrig (nama file tentu saja bebas)
- Isikan dengan satu baris command line ini:
kill -9 $(ps -ef | grep 'xmrig' | grep -v 'grep' | awk {'print $2'}) - Selanjutnya save dan jadikan executable chmod +x /usr/bin/killxmrig
- Next isikan dalam konfigurasi crontab:
* * * * * root /usr/bin/killxmrig - Jalankan systemctl restart cron
Cron akan mengeksekusi command tsb setiap menit, mencari proses yg mengandung kata xmrig, menemukan seluruh PID dari prosesnya dan melakukan kill terhadap proses tsb.
Intinya di sini, temukan dan kenali nama aplikasi yg mencurigakan dan itulah kata kunci yg perlu dicantumkan dalam command line kill tsb. Cara ini menurut pengalaman saya cukup efektif untuk menetralisir kondisi server yg lemot dan tidak responsif. Setelah server terkendali barulah bisa menjalankan audit misal dengan menjalankan anti malware ataupun pengecekan menyeluruh untuk menemukan malware yg merugikan.
Semoga bermanfaat.
