Comando SH usando la mayoría del CPU

Hola a Todos,

Tengo el siguiente comando que lo veo en top casi siempre activo y que se consume todo el CPU haciendo altos loads

Estos dos son:

1948 nobody 25 0 920 36 32 R 23.0 0.0 30:17.72 sh
1527 nobody 25 0 920 32 28 R 20.7 0.0 511:35.11 sh

El server es un Centos con DirectAdmin, a que puede ser debido y que es de lo que se encarga sh?

Muchas Gracias

 

Parece que tienes un exploit en tu server, mata los procesos inmediatamente con:
# kill -9 N° de proceso

Pero antes usa el comando top, cuando este activo pulsa "c" con eso podrás ver el nombre del comando que se está utilizando con el sh

Despues te toca averiaguar como y por donde te colocaron el exploit.

 

Si vuelvo a ver el comando ejecutado hare las pruebas de WebTech

Como me recomiendan puse kill -9 y el número del proceso

Con los resultados que he hecho siguiendo lo de ideasmultiples cuando el proceso estaba activo:

1948 nobody 25 0 920 32 28 R 9.2 0.0 41:32.67 sh -c /bin/hostname
1527 nobody 25 0 920 28 24 R 7.2 0.0 522:48.10 sh -c /bin/hostname

Muchas Gracias a los dos.

 

Es un servidor administrado pero el "administrador" dice que está normal y que lo analizaron en busca de rootkits y otras cosas y no hay nada.

 

MMmm no quiero ser aguafiestas pero....

Se asemeja mucho a un Perlbot.

analiza con cuidado tu outgoing para saber si estas teniendo mayor trafico de salida.


Consejo .. utiliza modsecurity con las ultimas reglas para evitar incidentes RFI ( Remote File Include ), revisa tu /tmp buscando algun archivo .txt y elimina el mismo.


Saludos.

 

Fijate que usuarios tienen acceso a tu servidor, cuales se pueden conectar por SSH, fijate todos los scripts que se ejecutan en tu servidor (.pl .php. .cgi .asp) para que ninguno esté haciendo cosas indebidas...

Saludos

 

Por lo que se puede observar el usuario que ejecuta el script es nobody... casualmente el usuario que normalmente utiliza apache como owner...

si algun atacante utiliza vulnerabilidades RFI no es necesario que tenga acceso SSH para ejecutar scripts de este tipo.

 

Gracias a todos por las respuestas, por el momento no me ha molestado más ese comando, al igual que he visto en /tmp y no hay nada raro, el mod_security y el ClamAV esta instalado.

 

Me ha vuelto a suceder generalmente me aparece a la tarde, estos son los datos con los comandos de WebTech:

ps -aux | grep sh
nobody 4592 35.3 0.0 916 48 ? R 00:10 14:50 sh -c /bin/host

ps -aux | grep perl -i
root 6795 0.0 0.1 1812 488 pts/0 R+ 00:53 0:00 grep perl -i

y el último me da command not found.