Eu tenho uma caixa de servidor que uso para hospedar vários aplicativos da web e servidores de jogos para amigos. Recentemente me conectei a ele para verificar como estava funcionando e descobri um programa "Opera" tentando usar mais de 3000% da minha CPU de acordo com o top
. Tentei eliminá-lo pkill Opera
e pkill <pid>
depois fiz killall
o mesmo, que funcionou inicialmente, mas o programa Opera voltou em cerca de um minuto. Verifiquei todos os meus serviços do sistema e tarefas cron e não consigo encontrar nenhuma menção ao "Opera" em lugar nenhum, e tentar executar o comando manualmente ("Opera", não "opera" como o navegador) apenas me solicita para instalar o navegador Opera desde o início. top
apenas me informou que a ópera estava de alguma forma localizada em ./Opera
. Acabei rastreando o executável seguindo o link simbólico /proc/
e o encontrei /var/tmp
dentro de uma pasta "Documentos" com alguns outros arquivos estranhos (um config.json e vários arquivos ocultos com nomes estranhos e sem extensões). não tenho o arquivo Opera, pois eu o apaguei.
A exclusão do executável parece ter resolvido o problema, mas ainda não tenho ideia do que foi causado ou do que é o executável do Opera, o que estava fazendo e por que estava sendo executado a partir da /var/tmp
pasta. Quero principalmente saber se este é um vírus ou trojen conhecido e se devo limpar o usuário do qual ele está sendo executado.
Editando isso porque esqueci de adicionar as informações do meu sistema. Meu sistema operacional é Ubuntu 22.04.4 LTS e uso o bash como kernel. minha versão do kernel é Linux 5.15.0-116-generic
Qualquer ajuda é apreciada, obrigado!
De acordo com https://www.cadosecurity.com/blog/tracking-diicot-an-emerging-romanian-threat-actor , o arquivo
.b4nd1d0
é criado por um malware de mineração de criptografia chamadodiicot
. Talvez seja por isso que esse processo está consumindo toda a sua CPU. Eu recomendaria instalar um antivírus ou reinstalar o sistema operacional o mais rápido possível.Definitivamente limpe o usuário, exclua
.b4nd1d0
e reinicie. Deixe-nos saber como você se sai...