Bots & Malware entfernen
Diese Anleitung zeigt, wie Sie schädliche Prozesse wie Bots oder Krypto-Miner auf einem kompromittierten Linux- oder Windows-Server finden, beenden und entfernen. Sie nennt außerdem die Schritte, mit denen Sie nach der Bereinigung den Einstiegspunkt schließen.
Sofort handeln. Ändern Sie nach der Bereinigung umgehend alle Passwörter und beheben Sie die Ursache des Angriffs — veraltete Software patchen, schwache Passwörter ersetzen und betroffene Konten prüfen. Der Server gilt als nicht vertrauenswürdig, bis der Einstiegspunkt identifiziert und geschlossen wurde.
ss und /proc identifizieren, beenden und das schädliche Verzeichnis entfernen.Linux Server
Schritt 1: Verdächtige Verbindungen prüfen
Nutzen Sie ss (oder das ältere netstat), um ungewöhnliche offene Verbindungen zu finden — achten Sie auf unübliche Ports (z. B. 6667 / IRC) oder Prozesse mit dem Status SYN_SENT, die sich als legitime Dienste wie sshd tarnen:
Schritt 2: Prozessort identifizieren
Sobald Sie die Prozess-ID (PID) aus der Ausgabe haben, überprüfen Sie den tatsächlichen Speicherort der ausführbaren Datei in /proc:
Zeigt der Pfad auf etwas Unerwartetes — wie /usr/local/games/.bot/httpd statt auf ein echtes System-Binary — ist der Prozess schädlich.
Schritt 3: Prozess beenden
Beenden Sie den Prozess erzwungen über seine PID:
Schritt 4: Schädliches Verzeichnis löschen
Navigieren Sie in das übergeordnete Verzeichnis und löschen Sie den schädlichen Ordner rekursiv — so bleiben keine Recovery-Skripte zurück:
Hilfreiche Ressourcen für Linux
Windows Server
Schritt 1: Verdächtige Prozesse finden
Öffnen Sie den Task-Manager (Strg+Umschalt+Esc) → Tab Details. Achten Sie auf Prozesse mit ungewöhnlich hoher CPU- oder RAM-Auslastung, zufällig generierten Namen oder Prozesse, die unter einem unerwarteten Systembenutzer laufen.
Schritt 2: Prozessort identifizieren
Um den vollständigen Dateipfad eines verdächtigen Prozesses zu ermitteln, führen Sie Folgendes in PowerShell aus — ersetzen Sie VerdächtigerProzessname durch den Namen aus dem Task-Manager:
Wenn der Pfad auf Temp, AppData oder C:\ProgramData zeigt, ist der Prozess sehr wahrscheinlich schädlich.
Schritt 3: Prozess beenden
Stoppen Sie den Prozess über PowerShell — entweder per PID oder per Name:
Schritt 4: Datei löschen und Scan starten
Löschen Sie die in Schritt 2 gefundene ausführbare Datei. Starten Sie dann einen vollständigen Offline-Scan mit Microsoft Defender Antivirus — der Offline-Scan läuft vor dem Windows-Start und kann Malware erkennen, die sich während des normalen Betriebs versteckt.
Hilfreiche Ressourcen für Windows
Nach der Bereinigung — erforderliche Maßnahmen
root / Administrator und jedes Benutzers, unter dem der schädliche Prozess lief.usermod -L benutzername und setzen Sie die Shell auf /usr/sbin/nologin (usermod -s /usr/sbin/nologin benutzername). Unter Windows: Konto in der Benutzerverwaltung deaktivieren.