# Server gehackt? Wir finden, was sich versteckt.

Quelle: https://vetosec.at/server/rootkit-analyse/

Gute Angreifer verstecken sich. Der Server zeigt dann nur, was sie zulassen. Wir sehen tiefer hinein und sagen Ihnen: sauber, gehackt oder neu aufsetzen.

- **Bis in den Kern** des Systems
- **Spuren** gesichert
- **Klare Antwort** im Bericht

## Was Sie bekommen

- **Eine klare Antwort**: Sauber oder gehackt, mit Begründung. Sie wissen, was als Nächstes zu tun ist.
- **Was noch betroffen ist**: Welche Passwörter und Systeme der Angreifer erreicht haben könnte.
- **Spuren für Versicherung und Behörde**: Wir sichern zuerst. So bleiben die Beweise verwertbar.
- [**Danach sicher**](https://vetosec.at/server/linux-haertung/): Auf Wunsch setzen wir den Server sauber und gehärtet neu auf.

## Wo sich Angreifer verstecken

Ein Virenscanner fragt den Server selbst. Ein guter Angreifer fälscht genau diese Antwort.

- **Im Kern des Systems**: Ein eingeschleustes Modul im Kernel. Der Server verschweigt dann Programme, Dateien und Verbindungen.
- **In den Messwerkzeugen**: Neuere Angriffe nutzen die Werkzeuge, mit denen Entwickler das System beobachten. Von außen sieht alles normal aus.
- **In ausgetauschten Programmen**: Ein gefälschtes Anmeldeprogramm schreibt Passwörter mit. Es sieht aus wie das Original.
- **Im Neustart**: Versteckte Einträge sorgen dafür, dass der Angreifer nach jedem Neustart wieder da ist.

## Ablauf

1. **Sichern**: Speicher und Festplatten sichern, bevor jemand neu startet.
2. **Tief prüfen**: Direkt im Systemkern nachsehen und mit dem vergleichen, was der Server anzeigt.
3. **Programme prüfen**: Jedes Programm mit dem sauberen Original vergleichen.
4. **Von außen gegenprüfen**: Wir vergleichen, was die Firewall sieht, mit dem, was der Server meldet.
5. **Bericht**: Ergebnis, Zeitablauf, nächste Schritte.

## Akuter Verdacht

**Nicht neu starten. Netzwerkkabel ziehen und anrufen.**

Ein Neustart löscht oft die einzigen Spuren. Lassen Sie den Server eingeschaltet.

## Umfang

**Ein Server oder alle. Mit Bericht am Ende.**

Abrechnung nach Aufwand. Im Notfall fangen wir sofort an.

Anfrage stellen

## Für IT-Verantwortliche

Technische Details: ftrace · kprobes · perf · eBPF · bpftool · bpftrace · auditd · rpm -Va

- **Sicherung**: Abbild von Arbeitsspeicher und Datenträgern vor jedem Eingriff, Prüfsummen und Protokoll der Beweiskette.
- **Kernel**: Abgleich von /proc/modules, /sys/module und kallsyms, Taint-Flags, Modulsignaturen.
- **Tracing**: Prüfung von enabled_functions und registrierten kprobes auf fremde Hooks, Auswertung mit ftrace und perf.
- **eBPF**: Inventar geladener Programme und Maps mit bpftool, Suche nach Programmen an Systemaufrufen und Tracepoints.
- **Userland**: rpm -Va mit statischen Werkzeugen von sauberem Medium, ld.so.preload, PAM-Module, SUID-Dateien.
- **Persistenz**: systemd-Units und Timer, Cron, udev-Regeln, initramfs, autorisierte SSH-Schlüssel.
- **Netz**: Abgleich von Firewall- und Flow-Daten mit den Verbindungen, die der Server selbst meldet, Scan von außen.

## Weiterlesen

- [**PHP2Shell: Was Website-Betreiber jetzt tun müssen**](https://vetosec.at/articles/cybersecurity/php2shell-was-website-betreiber-jetzt-tun-muessen/): Zwei kritische Lücken in PHP werden seit Oktober 2026 ausgenutzt.
- [**Gehackt worden? Sofortmaßnahmen für österreichische Unternehmen**](https://vetosec.at/articles/cybersecurity/gehackt-worden-sofortmassnahmen-fur-osterreichische-unternehmen/): Die ersten Stunden entscheiden: Systeme isolieren, Spuren erhalten und den Betrieb kontrolliert stabilisieren.
- [**KI findet Sicherheitslücken am Fließband: Was das für Ihre Server heißt**](https://vetosec.at/articles/cybersecurity/ki-findet-sicherheitsluecken/): Neue KI-Modelle finden Lücken so schnell, wie in einem Club die Korken knallen.

## Häufige Fragen

### Reicht ein Virenscanner?

Nein. Er fragt den Server selbst, und genau diese Antwort fälscht ein guter Angreifer. Wir prüfen zusätzlich von innen und von außen.

### Sollen wir neu starten?

Nein. Netzwerk trennen, Server eingeschaltet lassen, anrufen.

### Prüfen Sie auch Windows?

Diese Analyse ist für Linux. Bei Windows hilft unser IT-Notfall.

### Für wen ist das?

Für Unternehmen ab etwa 30 Mitarbeitern und alle, deren Server immer laufen müssen. Mit oder ohne eigene IT-Abteilung.

## Passt dazu

- [IT-Notfall](https://vetosec.at/it-notfall/): für Unternehmen
- [IT Check](https://vetosec.at/services/it-check/): ab 1.299 €
- [Monitoring & SIEM](https://vetosec.at/services/monitoring/): Teil des Betriebs

## Rootkit erkennen und gehackte Linux-Server prüfen in Österreich

vetosec untersucht verdächtige Linux-Server auf LKM-Rootkits, eBPF-Rootkits, ftrace- und kprobe-Hooks, manipulierte Binaries, ld.so.preload, PAM-Backdoors und Persistenz in systemd, Cron und initramfs. Mit Sicherung von Arbeitsspeicher und Datenträgern, Analyse mit ftrace, perf, bpftool und rpm -Va, Zeitlinie und Bericht.

Stand: 26. Oktober 2026

Anbieter: vetosec, Dipl.-Ing. Samuel Ziegler, BSc, Berndorf, Niederösterreich, Österreich. Kontakt: https://vetosec.at/contact/