😈 Подозрительные процессы в Linux: как найти неизвестную службу, сетевое соединение и автозапуск

Сервер внезапно начал нагружать процессор, появились неизвестные сетевые соединения, а после перезагрузки снова запускается подозрительный процесс?

Это не обязательно взлом, но повод проверить систему. Что проверяем в первую очередь:

◦ Запущенные процессы: команды ps aux, top и htop помогут обнаружить необычную нагрузку, а /proc/PID/exe покажет реальный путь к исполняемому файлу;

◦ Сетевые подключения: через ss -lntup можно найти открытые порты и связанные с ними процессы. Неизвестное исходящее соединение тоже стоит проверить;

◦ Службы systemd: команды systemctl status и systemctl cat позволяют изучить неизвестные службы, их конфигурации и команды запуска;

◦ Механизмы автозапуска: проверяем crontab -l, системные cron-задания и systemctl list-timers --all. Злоумышленники могут использовать расписания для закрепления в системе;

◦ SSH и учётные записи: ищем неизвестных пользователей, дополнительные аккаунты с UID 0 и посторонние ключи в authorized_keys;

◦ Системные журналы: через journalctl сопоставляем события: необычный SSH-вход, создание службы и последующее сетевое соединение могут указывать на связанную активность.

Высокая нагрузка CPU или неизвестный процесс ещё не доказывают компрометацию. Перед удалением файлов и перезагрузкой сервера необходимо сохранить журналы и другие следы возможного инцидента

— В статье разобраны команды, примеры их использования и последовательность первичного расследования для для начинающих специалистов Blue Team без установки дополнительных инструментов 👇

🗣️ Ссылка на чтиво

🧑‍💻 Этичный хакер