Nettoyage malware & crypto-mineur sur VPS
Investigation et nettoyage de serveurs Linux infectés par des crypto-mineurs et d'autres logiciels malveillants courants — preuves collectées d'abord, mécanismes de persistance supprimés, éléments confirmés nettoyés, serveur revérifié — avec un rapport d'incident, un plan de rotation des secrets et une recommandation de reconstruction lorsque le nettoyage ne suffit pas.
STYD analyse et nettoie les serveurs Linux infectés par des crypto-mineurs et des malwares courants comme kinsing, kdevtmpfsi ou xmrig, en collectant d'abord les preuves et en ne supprimant que les processus, entrées cron et systemd, fichiers et comptes « porte dérobée » dont le caractère malveillant est confirmé. Chaque nettoyage se conclut par un rapport d'incident et un plan de rotation des secrets ; une reconstruction est recommandée en cas de suspicion de compromission root ou de réapparition du malware.
Le problème
Les malwares de minage de cryptomonnaie comme kinsing, kdevtmpfsi ou xmrig sont une infection courante des serveurs Linux exposés à Internet. Ils entrent par une porte banale — un mot de passe SSH faible, un port Docker exposé, une vieille application web — puis se cachent dans des tâches cron, des services systemd, des dossiers temporaires ou des utilisateurs cachés. Tuer le processus suffit rarement : il se réinstalle, et les identifiants présents sur le serveur restent exposés.
Pour qui
Les propriétaires de serveurs qui présentent un CPU élevé, des processus inconnus, des tâches cron suspectes, des conteneurs Docker inconnus ou des utilisateurs inattendus ; les serveurs visés par un signalement d'abus de l'hébergeur ; et les serveurs sur lesquels un audit de sécurité a relevé des indices de compromission.
Le résultat
L'infection active stoppée, sa persistance supprimée, les preuves conservées, et un compte rendu écrit de ce qui a été trouvé, de ce qui a été nettoyé, des identifiants à considérer désormais comme exposés, et de la question clé : le serveur peut-il rester en service ou faut-il le reconstruire ?
Ce que STYD livre
STYD collecte les preuves avant de toucher à quoi que ce soit, puis examine les processus en cours, les ports en écoute publique, la persistance cron, systemd et au démarrage, les fichiers suspects dans /tmp, /var/tmp et /dev/shm, les conteneurs Docker, les utilisateurs et les clés SSH autorisées. Seuls les éléments dont le caractère malveillant est confirmé sont supprimés : processus malveillants arrêtés, entrées cron et systemd malveillantes supprimées, fichiers suspects mis en quarantaine plutôt que détruits, comptes « porte dérobée » supprimés, et IP sortantes malveillantes connues bloquées lorsque c'est pertinent. Le serveur est ensuite revérifié, et le rapport d'incident détaille les constats, les actions menées, les risques restants et un plan de rotation des secrets. En cas de suspicion de compromission root, de réapparition du malware ou de point d'entrée introuvable, STYD recommande une reconstruction plutôt que de faire confiance à un serveur nettoyé.
Questions fréquentes auxquelles ce service répond
- supprimer un crypto-mineur sur un serveur Linux
- kdevtmpfsi kinsing suppression
- VPS CPU 100 % processus inconnu
- nettoyage malware xmrig
- signalement d'abus hébergeur VPS malware
- serveur VPS piraté que faire
Tarification
Le tarif final est confirmé après un court échange de cadrage.
FAQ
Vous pouvez, mais il revient souvent. Les mineurs se réinstallent à partir de tâches cron, de services systemd, de fichiers de démarrage ou d'utilisateurs cachés. Nettoyer, c'est trouver et supprimer tous ces mécanismes — et comprendre par où ils sont entrés.
Seules les entrées dont le caractère malveillant est confirmé sont supprimées. Les fichiers suspects sont mis en quarantaine, pas effacés, afin de pouvoir être examinés et restaurés si nécessaire.
Un nettoyage manuel ne peut pas garantir qu'un serveur compromis est sain à 100 %. En cas de suspicion de compromission root ou si le point d'entrée reste introuvable, la recommandation honnête est une reconstruction sur un nouveau serveur, sur devis séparé.
Tout ce qui est stocké sur un serveur compromis doit être considéré comme exposé. Le rapport inclut un plan de rotation ; sa mise en œuvre est exclue par défaut et proposée sur devis.
Oui — les cas urgents et les incidents en production font l'objet d'un devis dès la prise de contact, selon le serveur et la situation.
L'investigation forensique à des fins juridiques ou d'assurance, la revue du code applicatif et la supervision continue. Le durcissement de base peut suivre une fois le serveur stabilisé, avec un accord distinct. Il ne s'agit ni d'un test d'intrusion, ni d'un audit de conformité certifié.
Services STYD associés
Découvrez ce qui est réellement exposé sur votre serveur Linux, puis faites appliquer les corrections de base sans risque — uniquement avec votre accord écrit et un rapport avant/après.
Une revue de sécurité en lecture seule des applications sur mesure, du code et des automatisations qui font tourner votre entreprise — qui peut les appeler, où se trouvent les identifiants, et ce qui peut écrire en production — avec des constats vérifiés et classés par gravité.
Un système est en cours de développement pour votre entreprise — ou par votre équipe. Avant de construire davantage par-dessus, obtenez une évaluation écrite indépendante : ce qui existe aujourd'hui est-il assez solide pour continuer ?
Parlez-nous de votre configuration et nous confirmerons l'adéquation, le périmètre et le tarif.