Q&A
> PID13821のコマンド欄にランダムな名称が記載されており、
Malware の可能性がありますので、さくらVPSのサポートに報告して調査を依頼することをお勧めします。
実現したいこと
CPU使用率が高くなっている状態を解消したい
発生している問題・分からないこと
さくらVPSで「AlmaLinux」というサーバOSを稼働させています。
CPUの使用率がかなり高くなったため、コンソールにログインしtopコマンドでプロセスを確認したところ、PID13821のコマンド欄にランダムな名称が記載されており、CPUの使用率も比較的高い状態でした。
こちらのプロセスはシステム上でどういう役割を果たしているのでしょうか？
Linuxについてあまり詳しくないため、可能な限りわかりやすく教えていただければ非常に嬉しいです。
宜しくお願い致します。
エラーメッセージ
error
1エラーメッセージはとくにありません。
該当のソースコード
特になし
試したこと・調べたこと
- teratailやGoogle等で検索した
- ソースコードを自分なりに変更した
- 知人に聞いた
- その他
上記の詳細・結果
状況が改善されませんでした。
補足
特になし
ご回答ありがとうございます。
Malwareなのですね・・・・
対応頂けるかわかりませんが、さくらVPSのサポートへ問い合わせしてみます。
プロセス名に`.bisis`とドットで始まる(不可視)ファイルがあるのでその名前で検索してみると次のようなサイトが引っかかりました。
https://www.wiz.io/blog/diicot-threat-group-malware-campaign
melianさんのコメントの通りマルウェアの可能性が高い気がします。
ご回答ありがとうございます。
さくらVPSのサポートへ連絡したところ、以下回答を頂きました。
----------------------------------------------------------------------------------------
お問い合わせ内容をもとにサーバーの稼働状況をコントロールパネルのリ
ソース情報では確認させていただきましたところ、3月25日 11:00頃から
CPUの負荷が高くなっております。
また、それ以降、ディスクI/Oも高くなっております。
加えて、ご利用サーバーからのグローバル側への通信が多くなっておりま
す。
お客様にて当該日付頃にメンテナンスを実施されたお心当たりはございま
すでしょうか。
弊社がお客様のサーバー構築や運用に関与しておらず、詳細は分かりかね
ますが、もし、お心当たりがない場合、何かしらの不審なファイルを設置
された可能性がございます。
お手数ではございますが、サーバー内のログを調査いただき、ご対応をお
願いいたします。
----------------------------------------------------------------------------------------
初歩的な質問で申し訳ございませんが、サーバーログを採取したことがあまりないのですが、
以下URLに記載されているコマンドで確認するのが良いでしょうか？
https://eng-entrance.com/linux-log-check
また、マルウェアであった場合、駆除方法はございますでしょうか？
ネットで検索したところ、「ClamAV」というソフトが有名らしいですが、こちらのソフトで駆除は可能でしょうか？
ご面倒をおかけし申し訳ございませんが、ご教示いただけますと助かります。
可能ならばサーバーの稼働をすぐ停止しましょう。ログを調査するときも、バックアップを取って、ネットワークから遮断したうえでやったほうがいいです。
駆除を考えるよりも新しく環境を作り直すほうがいいように思います。
また、どういった経路でマルウェアが入ってきたかわからない状況でしたら、同じことを繰り返す可能性があるので、脆弱性の確認などセキュリティの設定を見直す必要があります。
・OSに関して
さくらVPS側で提供されている「AlmaLinux」を選択して
インストールしていれば、ここにマルウエアが入っていたことはないと思います。
もし、自身でISOイメージを取得してインストールしたのであれば
このときに入ってしまった可能性があります。
・その後、ソフトに関して
上記と同様にダウンロードして、インストールしていると思いますが、
ダウンロード先に注意しましょう。
ダウンロードした中にマルウェアが仕込まれている場合があります。
・今後の対応
bsdfanさんも指摘しておられますが、
まずは、OSの停止。
そこから、OSの再インストールからはじめましょう。
ujimushi_sradjp さんの指摘のようにマルウェアが仕込まれている状態で、そのサーバを踏み台にして他の世界中のサーバに攻撃を試みてマルウェアを拡散している状態でしたね。
そのサーバへのSSH接続用のrootやユーザーID用のパスワードとして、短い単純な文字列を設定していたか、過去にどこかで漏洩したパスフレーズリストと同じ文字列が使われていて、ID/PWのリスト組み合わせ総当たり攻撃でログイン試行を突破されてマルウェアを他のサーバから自動的に仕込まれたようですね。
OSを入れ直すにしてもマルウェアをツールで駆除するにせよ、今後はIDとパスワードだけのログインではなく、機密鍵・公開鍵の鍵ペアを作成してログイン時に鍵の照合を必須とするようにしましょう。
外部からSSH接続され、パスワードの突破されているとした場合、
AnMoreNightさんが言われている証明書を使ったSSH接続に変更することも有効ですが、
下記のように、さくらVPSでは、許可する送信元IPアドレスをコントロールパネルから設定できますので
こちらの機能を使う方が簡単かと思います。
https://vps.sakura.ad.jp/news/vps-pf-ph3/
あなたの回答
tips
プレビュー
