謎の空ファイルを生成する犯人プログラムを特定する方法

Question

不定期に以下のような名前のファイルがホームディレクトリに生成されます。

''$'\001\367''5@@XZ'$'\001''@8'

ls するとこのようになります。

hoge@ubuntu:~$ ls -la
total 220
-rw-rw-r--  1 hoge hoge     0 Sep  9 23:16 ''$'\001\367''5@@XZ'$'\001''@8'
...

削除は可能ですが、不定期に出現して気持ちが悪いです。

これを生成するプロセスを特定することは可能でしょうか。
よろしくお願いいたします。

Answer 1

とりあえずホームディレクトリを書き込み禁止にしてみれば、そのプロセスがエラーを出すかも知れないので、/var/logを見てみる。

「不定期」というのが数日に一度くらいであると難しいので、ホームディレクトリの書き込みを監視するようなプロセスを上げるのでしょうか。

Comments

[shirasublue]

試してみます。ありがとうございます。

Answer 2

環境を一新しました（チート）
どうやら VisualStudioCode の SSH Extension が犯人のようです。

Answer 3

これを生成するプロセスを特定することは可能でしょうか。

• その時間に稼働しているプロセスを見る
• ファイルの所有者を見る
• CRONを見る

大抵これで特定できると思いますが、全く身に覚えが無くて最初から発生している現象ならOSによる動作かもしれませんね。Raspberry Pi持ってないので分かりません。

↑を試して処理を追えないならCRONを停止する、デーモンの自動起動を支障が無い範囲でオフにする。なんなら後から追加したデーモンは全て自動起動をオフに。
それで作成されなくなるなら自動起動したデーモンが不思議な動きをしているのかも？

Comments

[shirasublue]

ls -la の通りファイルの所有者は自分自身になっています。
crontabにはroot, 自分ともに何もありませんでした。
デーモンを確認していこうと思います。ありがとうございました。