これらのプロセスのいくつかが悪意のある可能性がありますか？

Question 1

リストが長すぎるので、1行ずつ見直したくありませんか？多くのプロセスがrootとして実行されるのは一般的です。 Unixシステムは通常、すべてのタスクに対して1つのプロセスを持つため、多くのシステムサービスには独自のプロセスがあります。実際、それらの一部（たとえば、all/0または/（CPUを識別する数字）とほとんどはで始まるk）はカーネルスレッドです。

誰かがあなたのコンピュータを制御することを心配している場合、psこれは便利なツールではありません。未熟なルートキットには、プロセスリストから悪意のあるプロセスを隠すコードが含まれています。マルウェアがrootとして実行されていないため、カーネルレポートを変更できなくても無害なものになりますsh。

はい_{、ここでは「大丈夫」という言葉が適切ではないかもしれません。}

Answer

リストが長すぎるので、1行ずつ見直したくありませんか？多くのプロセスがrootとして実行されるのは一般的です。 Unixシステムは通常、すべてのタスクに対して1つのプロセスを持つため、多くのシステムサービスには独自のプロセスがあります。実際、それらの一部（たとえば、all/0または/（CPUを識別する数字）とほとんどはで始まるk）はカーネルスレッドです。

誰かがあなたのコンピュータを制御することを心配している場合、psこれは便利なツールではありません。未熟なルートキットには、プロセスリストから悪意のあるプロセスを隠すコードが含まれています。マルウェアがrootとして実行されていないため、カーネルレポートを変更できなくても無害なものになりますsh。

はい_{、ここでは「大丈夫」という言葉が適切ではないかもしれません。}

Question 2

名前に基づいてプロセスが悪性であるかどうかを評価するアイデアは少なくとも古いです...まあ、長い間;)

偽の旗作戦、誰？

感染者はバイナリにマルウェアを追加/挿入する可能性が高いです。
悪意のあるバイナリは通常、無害だと思うのと同じ名前を持つ可能性が高く、リストには次のものがあります。全く知らないファイルシステムまたはそのファイルビットのバイナリ位置に関する情報。たとえば、少なくとも次のいずれかのプロセスに対応するルート所有のsetuidバイナリがあることを確認する必要があります。
ルートキットは通常、リストに表示されないように非表示にします。

このリストは完全なものではありません。さらに、スーパーユーザー権限でマルウェアを実行するシステムには（技術的）問題はありません。嘘をつくあなたのため。

少なくともオフライン分析が必要です。パッケージマネージャを使用している場合は、予想される場所のバイナリを（署名付き）パッケージのハッシュと比較できます。全体的に、多数のスクリプトに加えて、チェックできる実際のバイナリの小さなセットだけを残す必要があります。ただし、スクリプトの場合でも、パッケージ内のスクリプトにはバイナリを確認できるハッシュが付属しています。

Answer

名前に基づいてプロセスが悪性であるかどうかを評価するアイデアは少なくとも古いです...まあ、長い間;)

偽の旗作戦、誰？

感染者はバイナリにマルウェアを追加/挿入する可能性が高いです。
悪意のあるバイナリは通常、無害だと思うのと同じ名前を持つ可能性が高く、リストには次のものがあります。全く知らないファイルシステムまたはそのファイルビットのバイナリ位置に関する情報。たとえば、少なくとも次のいずれかのプロセスに対応するルート所有のsetuidバイナリがあることを確認する必要があります。
ルートキットは通常、リストに表示されないように非表示にします。

このリストは完全なものではありません。さらに、スーパーユーザー権限でマルウェアを実行するシステムには（技術的）問題はありません。嘘をつくあなたのため。

少なくともオフライン分析が必要です。パッケージマネージャを使用している場合は、予想される場所のバイナリを（署名付き）パッケージのハッシュと比較できます。全体的に、多数のスクリプトに加えて、チェックできる実際のバイナリの小さなセットだけを残す必要があります。ただし、スクリプトの場合でも、パッケージ内のスクリプトにはバイナリを確認できるハッシュが付属しています。

Question 3

私が野生で出会った唯一のルートキット（旧Solaris 8では）は、「lpsched」プロセスでパスワードスニファーを実行しました。問題は、そのうちの2つ（ルートキットのバグ）を実行し、「man lpsched」がlpschedのないディレクトリで実行されることです。また、「ps」はトロイの木馬によって制御され、追加の奇妙なlpschedプロセスを表示しませんが、topはそれを表示します。

本当に心配な場合は、/procのすべてのPIDを見てください。実行可能ファイルが実際にどこにあるかを確認するには、/proc/$PID/exe リンクを見てください。実行可能ファイルの場所を確認してください。しなければならない生きる。この方法で見つかったすべてのディレクトリに対して「ls」を試し、「ls」がそのディレクトリをすべて表示していることを確認してください。 "ls"がディレクトリを表示しないことは、何かが間違っているという明白なヒントです。

特定のプロセスが疑わしい場合は、chkrootkit（http://www.chkrootkit.org/）とrootkit Hunter（http://www.chkrootkit.org/）をダウンロードして何かが見つかったかどうかを確認してください。ルートキットハンターの中には、決して含まれていないルートキットが世界に流れていることに気づくべきです。

Answer

私が野生で出会った唯一のルートキット（旧Solaris 8では）は、「lpsched」プロセスでパスワードスニファーを実行しました。問題は、そのうちの2つ（ルートキットのバグ）を実行し、「man lpsched」がlpschedのないディレクトリで実行されることです。また、「ps」はトロイの木馬によって制御され、追加の奇妙なlpschedプロセスを表示しませんが、topはそれを表示します。

本当に心配な場合は、/procのすべてのPIDを見てください。実行可能ファイルが実際にどこにあるかを確認するには、/proc/$PID/exe リンクを見てください。実行可能ファイルの場所を確認してください。しなければならない生きる。この方法で見つかったすべてのディレクトリに対して「ls」を試し、「ls」がそのディレクトリをすべて表示していることを確認してください。 "ls"がディレクトリを表示しないことは、何かが間違っているという明白なヒントです。

特定のプロセスが疑わしい場合は、chkrootkit（http://www.chkrootkit.org/）とrootkit Hunter（http://www.chkrootkit.org/）をダウンロードして何かが見つかったかどうかを確認してください。ルートキットハンターの中には、決して含まれていないルートキットが世界に流れていることに気づくべきです。

これらのプロセスのいくつかが悪意のある可能性がありますか？

答え1

答え2

答え3

関連情報