Привет, повелитель терминала! На одном из серверов Linux обнаружили странный процесс:
- Имя вроде
89cdb92b, потом меняется на другое (ac1e4262)- Процесс запущен от
root- CPU загружено на 25369% (!)
- Файл процесса уже удалён:
/proc/<PID>/exe → (deleted)Это может быть майнер или вредоносная программа. Простое перезагружение не решает проблему: процесс появляется снова.
🔍 Что делать:
1. Проверить родителя процесса:
pstree -sap <PID>
2. Узнать командную строку процесса:
ps -o args -p <PID>
3. Скопировать бинарник для анализа:
cp /proc/<PID>/exe /tmp/suspect_binary
4. Безопасно изучить его содержимое:
strings /tmp/suspect_binary
5. Проверить открытые файлы:
lsof -p <PID>
6. Изучить логи на момент запуска процесса:
journalctl -S 'YYYY-mm-dd HH:MM'
📌 Важно: при компрометации — лучше переустановить систему с чистого образа!
🌐 Источник: https://unix.stackexchange.com/questions/782519/high-cpu-usage-by-process-with-obfuscated-name-on-linux-server-potential-attac
📩 Завтра: Как узнать ВСЁ о железе и системе в Linux за 5 минут
Включи 🔔 чтобы не пропустить!
____________________
Дополнительный материал:
🧠 - Неожиданные секреты Linux: 12 утилит, которые спасут твой сервер!
🧠 - Открой для себя 15 малоизвестных команд LINUX, которые изменят твою жизнь
🧠 - Как удалить экспортированную переменную окружения в Linux?
#stackoverflow @LinuxSkill #Linux #Security #Malware #CPU #Root