Bir Linux sunucuya root veya kullanıcı seviyesinde sızıldığında — örneğin uygulama katmanı RCE zafiyeti, şifresiz bırakılmış Redis/PostgreSQL portu, dış dünyaya açık Docker API soketi veya güncel olmayan kontrol paneli açığı üzerinden — saldırgan zararlıyı yalnızca bir web sitesinin içine değil; doğrudan /tmp, /dev/shm, /var/tmp, /root/.dspool, /etc/ld.so.preload veya /etc/systemd/system dizinlerine yerleştirir. Bu noktadan sonra yalnızca WordPress eklentisiyle tarama yapmak veya sunucuya reboot atmak sorunu çözmez; sunucu açıldığı saniye systemd veya crontab tetikleyicisi XMRig, Kinsing, kdevtmpfsi veya perfctl (SSH oturumu açıldığında kendini gizleyen dosyasız zararlı) sürecini tekrar ayağa kaldırır.
Deneyimsiz müdahalelerde yapılan en büyük hata, top veya htop ekranında görülen yüksek CPU sürecini doğrudan kill -9 komutuyla öldürmeye çalışmaktır. Oysa modern Linux zararlıları bir bekçi (watchdog) döngüsüyle çalışır: siz süreci sonlandırdığınız salisede arka plandaki gizli servis veya paylaşımlı kütüphane kancası (LD_PRELOAD) zararlıyı yeni bir PID ile yeniden başlatır. Signalique sistem mühendisleri zararlı süreci öldürmeden önce kill -STOP (SIGSTOP) sinyaliyle bellekte dondurur; süreç felç edilmiş haldeyken tüm systemd birimlerini, cron görevlerini, yetkisiz SSH authorized_keys kayıtlarını ve sızma noktasını kazıyarak enfeksiyon döngüsünü kökünden kırar.
Zararlı yazılım bulunmayan ancak yoğun trafik altında 502 Bad Gateway, 504 Gateway Timeout veya OOM Killer (Out of Memory) çökmesi yaşayan sunucularda ise sorun genellikle varsayılan (default) fabrika ayarlarıdır. Sunucunun RAM kapasitesine göre matematiksel olarak hesaplanmamış PHP-FPM pm.max_children değerleri ve optimize edilmemiş MySQL/MariaDB innodb_buffer_pool_size parametreleri, güçlü donanımların bile darboğaza girmesine yol açar. 90+ adımlık mühendislik kontrol listemizle işletim sistemi çekirdeğinden veritabanı indekslerine kadar tüm yığını donanımınıza özel olarak yeniden kalibre ediyoruz.