/tmpにファイルを作成するスクリプトを確認してください。

Question

私のデービッドにマルウェアやハッキングがあります。私は、プロセッサの負荷の300％を要するプロセスを見ています。どのようにスクリプトやユーザーがこのファイルを繰り返し作成しているかを確認するにはどうすればいいですか？このプロセスを終了できますが、30分後にこのプロセスが更新されます。

このプロセスは次のようになります。このプロセスの/tmp/phpmnE0Ib_jhikt717dscrcw6b -c 2 -M stratum+tcp://4AE9fi43498hg 938hg....3o4ijf3ioEI0:x@monerohash.com:3333/xmr

と、ユーザーは自分のApache（WWW-データ）です。

Answer 1

これを引き起こしている原因がわかりません。さらに悪いことに、あなたがこのスクリプトを実行し続けるものを見つけ、すぐに問題を取り除くなら、あなたはまだ1）彼らが通過した「穴」が塞がれていること、および2）それらがインストールされていないことを確かめることはできませんルートキットやバックドアは、後で戻ってくることができます。

最高のアドバイスは、次のとおりです。

• シャットダウン感染したシステム
• スナップショット/そのファイルシステムを保持します。
• 既知の安全なシステムを使用して、侵害されたファイルシステムをフォレンジックに調べます。あなたは、妥協につながる脆弱性（または悪いセキュリティ実践!!）を特定する証拠を探しているべきです。
• あなたは積極的に問題の原因を持っていたら：
  • は知らクリーンベースイメージ（たとえば、インストールディスク）からシステムの新バージョンを構築し、ソフトウェアのすべての最新のコピーから得られ、クリーンソース。
  • 清浄にを知らあるバックアップからファイルとデータベースの状態を復元します。すなわち妥協の前に取られる。

感染したシステムを「きれい」しようとすることは賢明ではありません。あなたが法医学的なセキュリティと極端に裕福な人には熟練していない限り、悪人たちが残したかもしれない隠れたバックドアなどを取り除いたことを決して確信することはできません。エキスパートハッカーたちはトラックを隠していて、あなたがそれを理解したと思うようにするために、誤った手がかり/誤った手掛かりを導くことに優れています。