Server o VPS compromesso: cosa fare e come intervenire?
Accorgersi che qualcosa non quadra sulla propria macchina virtuale o sul proprio server dedicato è uno dei momenti più critici per chi gestisce un e-commerce, un portale aziendale o i servizi di un cliente. Tutto inizia quasi sempre con sintomi apparentemente inspiegabili: il carico della CPU schizza fisso al 100% nel pieno della notte, i siti ospitati diventano lentissimi o irraggiungibili, le caselle email finiscono nelle liste nere per l’invio massivo di spam oppure compaiono file e utenti sconosciuti all’interno del sistema operativo.
Trovarsi davanti a un VPS compromesso non mette a dura prova soltanto la continuità del progetto digitale, ma svela nel giro di pochi minuti anche il reale valore del fornitore di hosting a cui ci si era affidati. Chi utilizza servizi standard non gestiti o provider low-cost all’estero scopre infatti nel modo più brusco che, nel momento dell’emergenza, il proprio fornitore non interviene sul sistema operativo bucato ma si limita spesso a sospendere l’indirizzo IP per bloccare il traffico anomalo in uscita, lasciando il cliente completamente solo a gestire il danno. Capire nel dettaglio in caso di server hackerato cosa fare, come isolare il problema e perché un’infrastruttura con backup integrati e assistenza Managed come quella che offriamo ai nostri clienti su Servereasy.it previene questi scenari permette di affrontare l’emergenza con lucidità.
I segnali che confermano un’intrusione sul sistema
Prima di intervenire in modo drastico sulla macchina, il primo passo consiste nel verificare se ci si trova davvero di fronte a un accesso abusivo dall’interno oppure a un rallentamento causato da fattori esterni. Non sempre infatti un server che non risponde è stato violato a livello di sistema operativo.
Processi anomali, cryptominer e differenza rispetto a un attacco di rete
Quando un attaccante riesce a sfruttare una vulnerabilità di un CMS non aggiornato, un plugin obsoleto o una password SSH troppo debole, il suo obiettivo principale è quasi sempre sfruttare la potenza di calcolo e la banda del server senza farsi notare subito. L’analisi dei processi attivi (tramite strumenti come htop su Linux o il Task Manager su Windows) mette spesso in luce eseguibili dai nomi casuali che consumano l’intera capacità dei processori per effettuare il mining nascosto di criptovalute (cryptojacking). Altre volte l’intrusione trasforma la macchina in un nodo di una botnet che genera picchi improvvisi di traffico in uscita verso indirizzi IP sconosciuti, oppure mostra nei registri di sistema (come /var/log/auth.log) accessi riusciti da località mai viste prima.
Ben diverso è il caso in cui il server risulti irraggiungibile perché bersagliato dall’esterno da un’ondata di traffico spazzatura volta a saturare la banda. Sui servizi ospitati nella sala dati di Milano di Servereasy.it questo secondo scenario viene neutralizzato a monte: la nostra piattaforma Anti-DDoS Always-On proprietaria filtra in tempo reale gli attacchi volumetrici e applicativi prima ancora che tocchino la macchina virtuale o il server dedicato, permettendo ai nostri clienti di avere la certezza che la rete è pulita e di concentrarsi solo su eventuali anomalie interne al software.
Server hackerato cosa fare nelle prime ore senza perdere i dati
Una volta confermata la presenza di un’intrusione all’interno del sistema operativo, la fretta porta spesso a commettere due errori opposti ma ugualmente dannosi: spegnere di colpo la macchina oppure lasciare il server collegato a Internet mentre si cerca di cancellare a mano i file sospetti.
Perché l’isolamento della rete viene prima dello spegnimento
In presenza di un server hackerato cosa fare nei primi quindici minuti determina la possibilità di capire da dove sono entrati gli intrusi. Forzare il riavvio o lo spegnimento immediato cancella infatti il contenuto della memoria RAM, le connessioni di rete attive e i processi temporanei avviati dall’attaccante, eliminando le prove necessarie per individuare la falla iniziale.
La prassi corretta prevede invece di scollegare la macchina dal traffico pubblico (o bloccare tramite firewall tutte le porte in ingresso e in uscita), mantenendo il sistema acceso per ispezionare e mettere in salvo una copia dei file di log. Su un provider tradizionale, bloccare le porte di rete significa però tagliarsi fuori dal proprio stesso server. È proprio in questi frangenti che emergono i vantaggi degli strumenti di accesso fuori banda (out-of-band) che noi di Servereasy.it includiamo gratuitamente per i nostri clienti: sulle nostre Cloud VPS è sempre disponibile la console VNC integrata nel pannello Proxmox, mentre sui nostri Server Dedicati l’accesso hardware remoto tramite IPMI/KVM consente di operare sul terminale della macchina anche con la scheda di rete pubblica completamente disattivata.
L’illusione della pulizia manuale e la necessità di ripartire da un backup integro
Un falso mito molto diffuso tra chi non amministra sistemi per professione è l’idea che basti individuare il file malevolo o il processo anomalo ed eliminarlo per riportare in sicurezza un VPS compromesso. Quando un intruso ottiene privilegi elevati (root o Administrator), ha la possibilità di modificare i binari di sistema, inserire chiavi SSH nascoste, alterare le operazioni pianificate (cronjob) o installare rootkit invisibili ai normali controlli antivirus, pronti a riaprire l’accesso poche ore dopo la pulizia.
Dal punto di vista della sicurezza informatica, l’unica procedura realmente affidabile dopo aver salvato i log per l’analisi consiste nel formattare e reinstallare da zero il sistema operativo, ripristinando successivamente una copia di salvataggio dei dati antecedente alla data dell’attacco. Chi si trova su hosting economici sprovvisti di salvataggi automatici si accorge purtroppo in questo preciso istante di non avere alcun punto di ripristino pulito. Per evitare ai nostri clienti di trovarsi mai in una simile situazione, su tutte le VPS di Servereasy.it includiamo nativamente e senza costi aggiuntivi il backup automatico giornaliero (con conservazione degli ultimi 7 giorni su storage separati nel nostro datacenter di Milano), affiancato dalla gestione immediata degli snapshot.
Cosa cambia tra essere lasciati soli dal proprio hosting e avere un servizio Managed
Chi cerca online una soluzione d’emergenza perché il proprio server è stato violato presso un altro operatore scopre presto una regola ferrea del mercato IT: quasi nessun provider interviene gratuitamente per ripulire o sistemare macchine ospitate su infrastrutture di terzi, e chi ha sottoscritto un piano economico non gestito (Unmanaged) presso i grandi colossi del cloud viene lasciato da solo a decifrare i log, spesso con il servizio sospeso d’ufficio dal reparto abuse del fornitore.
Per le aziende, le web agency e i professionisti che non dispongono di un reparto sistemistico interno attivo tutti i giorni dell’anno, il vero salto di qualità consiste nello spostare i propri progetti su un’infrastruttura nazionale scegliendo un piano con assistenza sistemistica Managed. Quando un cliente sceglie una VPS (managed) o un Server Dedicato Managed qui su Servereasy.it, non acquista soltanto le risorse hardware del nostro datacenter di Settimo Milanese, ma affida la sicurezza e la manutenzione del sistema operativo direttamente ai sistemisti del nostro NOC.
| Situazione Critica | Provider Standard / Non Gestito | Soluzioni Managed ServerEasy |
|---|---|---|
| Prevenzione e Aggiornamenti | Interamente a carico del cliente | Gestiti dal nostro team (Hardening, patch e firewall) |
| Rilevamento Anomalie | Blocco automatico dell’IP per abuso e sito offline | Monitoraggio proattivo del nostro NOC a Milano |
| Disponibilità dei Backup | Spesso assenti o da configurare a parte | Backup periodici automatici inclusi nel datacenter italiano |
| Gestione del Ripristino | Il supporto non interviene sul sistema operativo | Intervento diretto dei nostri sistemisti sulla macchina ospitata da noi |
Prevenire una nuova compromissione e valutare gli obblighi GDPR
Ripristinare un backup sano senza aver prima capito e chiuso la porta da cui è entrato l’attaccante espone il server a una nuova violazione nel giro di pochi giorni, perché i bot automatici continuano a scansionare gli stessi indirizzi IP cercando la medesima vulnerabilità.
Dall’analisi dei log alla messa in sicurezza della nuova istanza
Prima di rimettere in produzione l’applicativo sulla nuova istanza pulita, l’analisi dei registri web e di sistema salvati in precedenza permette di individuare il punto d’ingresso: nella maggior parte dei casi si tratta di componenti web non aggiornati, pannelli di amministrazione esposti senza autenticazione a due fattori o porte di amministrazione lasciate aperte verso qualsiasi indirizzo IP. Applicare fin dal primo avvio una rigorosa procedura di hardening del server e seguire una precisa checklist di configurazione iniziale (cambiando tutte le credenziali, usando chiavi SSH al posto delle password, configurando Fail2ban e limitando i privilegi di esecuzione) riduce drasticamente la superficie di attacco.
Infine, quando l’incidente coinvolge un server aziendale su cui transitano o vengono archiviati dati personali di clienti o utenti, l’aspetto tecnico si intreccia con quello legale. Secondo quanto previsto dall’Articolo 33 del GDPR, il titolare del trattamento è tenuto a valutare se l’intrusione abbia comportato una violazione di sicurezza dei dati personali (Data Breach), procedendo in caso di rischio per i diritti degli interessati alla notifica verso il Garante per la protezione dei dati personali entro 72 ore dal momento in cui ne è venuto a conoscenza.
Nota per chi desidera migrare su un’infrastruttura protetta e gestita in Italia: Per le realtà che non vogliono più correre il rischio di gestire in solitaria la sicurezza dei propri server su provider privi di supporto, all’interno delle nostre pagine dedicate a Cloud VPS e Server Dedicati sono disponibili tutte le soluzioni ospitate nel nostro datacenter certificato ISO 27001 di Milano, abbinabili al servizio di assistenza sistemistica Managed curato direttamente dai tecnici di Servereasy.it.
Servereasy Risponde:
Basta eliminare il file sospetto con un antivirus per rendere di nuovo sicuro un server hackerato?
Quando un attaccante riesce a entrare nel sistema con privilegi di amministratore, limitarsi a cancellare il singolo file malevolo visibile non offre alcuna garanzia di sicurezza. Spesso vengono infatti lasciate aperte porte secondarie (backdoor) o modificati file di sistema legittimi per rientrare in un secondo momento. La procedura corretta prevede sempre la reinstallazione da zero del sistema operativo su una macchina pulita e il ripristino di un backup antecedente all’incidente.
Perché il mio attuale provider ha sospeso il mio VPS compromesso invece di aiutarmi a sistemarlo?
Nei contratti di hosting non gestito (Unmanaged), la responsabilità del provider si ferma al funzionamento dell’hardware fisico e della rete, mentre tutto ciò che accade dentro il sistema operativo è a carico esclusivo del cliente. Quando una VPS inizia a inviare spam o attacchi verso l’esterno, i provider standard bloccano l’indirizzo IP per tutelare la propria rete senza intervenire sul software. Per avere un team di sistemisti che si occupi attivamente della sicurezza, degli aggiornamenti e del ripristino della macchina, occorre ospitare il proprio progetto su un servizio con assistenza Managed come quello che noi di Servereasy.it mettiamo a disposizione dei nostri clienti.
Come funzionano i backup sulle VPS di ServerEasy in caso di emergenza o compromissione?
Per evitare che i nostri clienti possano trovarsi privi di copie di salvataggio nel momento del bisogno, su tutti i piani Cloud VPS di Servereasy.it includiamo gratuitamente il backup automatico periodico con una conservazione di 7 giorni. Le copie vengono archiviate su sistemi di storage dedicati sempre all’interno del nostro datacenter di Settimo Milanese, permettendo di ripristinare rapidamente l’istanza a uno stato integro precedente all’anomalia.
La nostra missione è offrire soluzioni di hosting e infrastrutture IT scalabili, sicure e sempre affidabili, adatte sia a privati che a imprese.
Crediamo che l’hosting debba essere semplice e trasparente: per questo investiamo in tecnologie all’avanguardia e in sistemi di protezione proprietari, garantendo performance e continuità in ogni situazione.
Con oltre 15 anni di esperienza, accompagniamo i nostri clienti nella crescita digitale con supporto competente e innovazione costante.
www.servereasy.it