2

Столкнулся с такой проблемой, поле покупки VPS у хецнера, по пока непонятным мне причинам, кто то бесконечно запускает стандартные консольные команды who, netstat и другие. Это осталось бы не замеченным если не полная загрузка ими процессора.

введите сюда описание изображения

Если я убиваю какой либо процесс который сильнее всех грузит

kill -9 13213

то сразу запускается netstat и т.д. lsof показывает:

введите сюда описание изображения

Запуск:

rkhunter -c -sk
chkrootkit

При попытке запуска:

lsof -c 13213

Ничего не выдает.

В /proc/{pid}/maps видим это

введите сюда описание изображения

/usr/bin/uspezmpywh - этот файл естественно постоянно меняется после убийства процесса. В нем: введите сюда описание изображения

Ничего существенного не нашёл. В самой системе если смотреть через who только один авторизованный пользователь. Изначально к системе имели доступ много разных людей поэтому могло что угодно занестись туда. С таким столкнулся первый раз. Буду благодарен за любую подсказку.

UPD: В /proc/{pid}/status:

введите сюда описание изображения

В /etc/init ничего обнаружить не удалось в /etc/init.d/{name_proc}:

введите сюда описание изображения

1
  • Комментарии не предназначены для расширенной дискуссии; разговор перемещен в чат.
    – user177221
    17 мар 2016 в 11:16

1 ответ 1

1

https://habrahabr.ru/post/248933/

HEUR:Trojan-DDoS.Linux.Xarcen.a

1
  • Пожалуйста, постарайтесь публиковать развернутые ответы содержащие конкретный пример минимального решения, дополняя их ссылкой на источник. Ответы–ссылки (как и комментарии) не добавляют знаний в Рунет. 29 мая 2016 в 13:04

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.