Как понять откуда появляется майнер?

1. с SSH конечно все плохо и я бы рад сделать как вы советуете только... Проблема в том, что есть у нас тут целый отдел, который работает со всеми этими серверами. Я в отделе не особо авторитетный, ибо слабенько шарю, хоть и стремлюсь изучать всё на свете. Первое что я предложил, это сменить нафиг пароли и порт ssh. Мне сказали, "да это не в этом дело, там просто всё старое и дырявое"

2. Вирус запускается от www-data

по ривизии.... Всё старое и обновляться:

"ни в коем случае нельзя, ибо всё перестанет работать и вообще, итак всё работает, ни че не трогай, удаляй из темпа руками этот вирус" (ну я скрипт напишу, на первое время, пока разбираюсь)

На самом деле времени куча ибо никто разбираться с этим не хочет, а мне интересно и есть свободное время. Думаю получить очень полезный опыт. Так как "свои" не очень то любят помогать, ведь постоянно заняты - пишу сюда. :)

Виталий Р,

ну учитывая что никто в результате кроме вас не заинтересован - то удачи Ж)
шучу

на самом деле если время позволяет и сайты простенькие - мигрировать их на другую машину где все ПО обновлено в принципе не сильно сложно
грубо говоря если там 4 сайта-визитки лежит - то перенести их на новую машину дело плевое
может стоит в эту сторону посмотреть

Stanislav Pugachev, так если вирус сидит в php файлах сайта (может и сайтов) то вирус с ними же и перенесется. Разве нет ?

Виталий Р,
как вирус может сидеть в пхп файлах? (кроме варианта когда программист специально туда уязвимость намеренно добавил)

никто ваши пхп-файлы патчить не будет потому что нахрен вы кому сдались со своими 4ю микросайтами
вас же явно ломают автоматически а не вручную. вы представляете себе какой это геморрой делать reverse-engineering ваших приложений, а потом писать что-то кастомно заточенное для конкретного сервера. эти временные затраты вы не окупите никогда. Это ведь тоже софт, его писать нужно, тестировать нужно, обкатывать.

Грубо говоря есть миллион серверов. на них миллион разных сайтов.
но все они ранаются на апаче. Поэтмоу использовать будут уязвимость апача а не вашего пхп приложения - потому что этим решением можно поломать миллион хостов а не ваш 1. Тогда это имеет экономическую целесообразность.
поэтому ломают "ковровым бомбометанием" сканируют сеть и проверяют на наличие известных уязвимостей у известного ПО всю сеть сразу. КТо просканился успешно - тому вставляют стандартный майнер.

Я могу быть не прав что ваше приложение (php) никак в процессе не участвует
на уровне логики приложения могут какие-то косяки в безопасности типа позволено аплоадить какие-то стремные файлы на сервер без проверки mime-type или чо-нить типа того.
Но опять же даже если это так - то это результат испольования стандартного известного типа уязвимостей а не результат пристального и скурпулезного поиска уязвимости в вашем сайте

если сайты деплоились гитом можете пойти в папку с сорцами и посмотреть git status
я уверен на 99% что там будет все чисто

первый вопрос мой конечно не совсем корректен
конечно дописать код можно в php файлы
я имел в виду что по-моему вряд ли это входит в стандартный пакет поломки подобных приложений

Stanislav Pugachev, а как вы предполагаете он может запускаться ?

в темпы закачиваются 2 файла, исполнительный и конфиг. Запускаются и собственно вирус начинает майнить.
Я хочу узнать именно откуда (ипишник) и кем (через что). Откуда они появляются. Кто инициирует ? процесс это ли какой-то или пхп скрипт. Я предположил, что на одном из моих сайтов в тело какого-нибудь стандартного скрипта вшит код закачки данного майнера и его запуск. или хз как еще ??

просто со схемой вирус внутри пхп - я уже сталкивался. Так же тут обратил внимание у себя натакой файлик

leave.php Внутри все переменные - наборы символов. и вообще он очень странный. У меня 4 сайта. этот файлик лежал только в publik_html в одном. Щас его переименовал и перенес. Посмотрю, подожду.

Так же в этом же самом каталоге лежат .htacces и .htacces.bak - скрытые оО я просто не шарю, что это такое, в смысле зачем они.

Пока что предполагаю, что старая дырявая джумла. Буду её обновлять, дальше уже посмотрим. Спасибо за совет.