Dein Linux-Server wurde gehackt: Was du jetzt sicherst und was du besser nicht anfasst

# Auf einem sauberen System, nicht auf dem Verdachtssystem
mkdir -p /mnt/ir/bin && cd /mnt/ir/bin

# Statisch gelinkte Werkzeuge mitbringen, den Binaries des Systems traust du nicht
ldd ./busybox     # "not a dynamic executable" ist das Ziel
ldd ./avml

# Auf dem betroffenen System als Erstes: Sitzung vollständig mitschreiben
script -q -f /mnt/ir/protokoll-$(date -u +%Y%m%dT%H%M%SZ).log
date -u; timedatectl status; uptime -s

IR=/mnt/ir/$(hostname)-$(date -u +%Y%m%dT%H%M%SZ); mkdir -p "$IR"

ss -tulpanw        > "$IR/ss.txt"
ps auxwwf          > "$IR/ps.txt"
lsof -nP           > "$IR/lsof.txt"
lsmod              > "$IR/lsmod.txt"
{ ip -br a; ip route; ip neigh; }        > "$IR/net.txt"
{ w; last -F -w; lastlog; }              > "$IR/logins.txt"
{ iptables-save; nft list ruleset; }     > "$IR/firewall.txt"

# Zu jedem verdächtigen Prozess: echtes Binary, Arbeitsverzeichnis, Aufrufzeile
ls -l /proc/1234/exe /proc/1234/cwd
tr '\0' ' ' < /proc/1234/cmdline; echo
cp /proc/1234/exe "$IR/pid1234.bin"

# Statisch gelinktes Werkzeug vom mitgebrachten Datenträger, kein Compiler auf dem Ziel
/mnt/ir/bin/avml "$IR/speicher.lime"
sha256sum "$IR/speicher.lime" | tee "$IR/speicher.sha256"

# Bei virtuellen Maschinen einfacher und sauberer über den Hypervisor
sudo virsh dump --memory-only --live web01 /mnt/ir/web01.dump

# Physisches System: von einem Live-Medium booten, Quelle nie schreibend einhängen
sudo dd if=/dev/sda of=/mnt/ir/sda.img bs=4M status=progress conv=noerror,sync
sha256sum /dev/sda | tee /mnt/ir/sda.quelle.sha256
sha256sum /mnt/ir/sda.img | tee /mnt/ir/sda.img.sha256

# Auswertung immer auf einer Kopie, schreibgeschützt eingehängt
mmls /mnt/ir/sda.img                       # Offset der Partition ermitteln
sudo mount -o ro,noload,noexec,nodev,loop,offset=$((2048*512)) \
     /mnt/ir/sda.img /mnt/analyse

# Schnell: was wurde seit dem Verdachtszeitpunkt geändert?
find / -xdev -newerct '2026-07-20 00:00:00' \
     -printf '%TY-%Tm-%Td %TH:%TM  %p\n' 2>/dev/null | sort

# Vollständig: aus dem Abbild, nicht vom laufenden System
mmls /mnt/ir/sda.img
fls -r -m / -o 2048 /mnt/ir/sda.img > /mnt/ir/bodyfile
mactime -b /mnt/ir/bodyfile -d -z Europe/Berlin > /mnt/ir/timeline.csv

# Journal aus dem Abbild lesen, ohne das Live-System zu befragen
journalctl -D /mnt/analyse/var/log/journal -o short-iso-precise

# Erfolgreiche Anmeldungen: Pfad je nach Distribution
grep -aE 'Accepted (password|publickey)' /mnt/analyse/var/log/auth.log*   # Debian/Ubuntu
grep -a 'Accepted' /mnt/analyse/var/log/secure*                          # RHEL/Rocky/Alma

# Gelöschte Sitzungen hinterlassen Sprünge in der Reihenfolge
utmpdump /mnt/analyse/var/log/wtmp | head -40

systemctl list-unit-files --state=enabled
systemctl list-timers --all
ls -la /etc/systemd/system /run/systemd/system /home/*/.config/systemd/user
ls -la /etc/cron.d /etc/cron.daily /var/spool/cron /var/spool/cron/crontabs
atq

cat /etc/ld.so.preload 2>/dev/null       # existiert im Normalfall gar nicht
awk -F: '$3==0 {print $1}' /etc/passwd   # mehr als root ist ein Befund
grep -rn '' /etc/sudoers.d/
ls -la /root/.ssh /home/*/.ssh; cat /home/*/.ssh/authorized_keys
ls -la /etc/update-motd.d /etc/profile.d

# RHEL/Rocky/Alma: Prüfsummen gegen die Paketdatenbank
rpm -Va | grep -E '^..5' | grep -E '/(bin|sbin|lib)'

# Debian/Ubuntu
sudo debsums -c 2>/dev/null || sudo dpkg --verify

# Besser: gegen das Abbild von einem sauberen System aus prüfen
sudo rpm --root=/mnt/analyse -Va | grep -E '^..5'

sudo tee /etc/rsyslog.d/90-remote.conf >/dev/null <<'EOF'
*.* action(type="omfwd" target="logserver.intern" port="6514"
           protocol="tcp" queue.type="linkedlist" queue.saveOnShutdown="on"
           action.resumeRetryCount="-1")
EOF
sudo systemctl restart rsyslog

# Systemd-Journal zusätzlich dauerhaft ablegen
sudo mkdir -p /var/log/journal && sudo systemd-tmpfiles --create --prefix /var/log/journal
sudo systemctl restart systemd-journald