什么是 .dhpcd 命令以及如何禁用它？

Question

如今，我的笔记本电脑经常使用高 %CPU（300%）。我注意到这.dhpcd涉及到高 %CPU。我可以毫无问题地终止该进程。但是，它大约每 30 分钟就会自动打开。奇怪的是，用户test处于top：

我想知道它是什么，我想知道如何修复或完全禁用它（如果可以的话）。我正在使用 Ubuntu 16.04.5。

sudo crontab -l显示no crontab for root。

从中sudo find / -iname "*dhpc*"我发现了这一点：/home/test/.dhpcd

其结果如下ls -al：

很久以前，我创建了一个 git 页面，只是为了练习。这里有些可疑的事情......

Answer 1

一周前，我用一个非常弱的密码/用户名（:)设置了一个服务器，admin并admin安装了一些我编写的入侵检测系统，只是为了看看会发生什么。

仅仅几个小时后，该系统就被黑客入侵，并被.dhpcd 一名恶意入侵者. 隐藏在背后的工具.dhpcd其实是xmrig一个开源挖矿软件。

因此，我强烈建议所有来这里询问此程序是什么的人重新格式化您的系统并进行设置更好更安全的密码。

如果你想知道的话，这是我编写的、用于在入侵发生时立即检测入侵的工具：https://github.com/snitch-ids/snitch

它基本上会在有人登录您的计算机时通过电报（或电子邮件）向您发送一条消息。它还会检测对您的文件系统所做的更改。

Answer 2

谢谢大家的帮助，特别是乔治·乌德森和道格·史密斯。

我做的一些事情包括：

• top：要弄清楚哪个命令占用了我的所有 CPU；我发现.dhpcd它占用了我的所有 CPU。请注意，它与不同dhcpcd。

• 使用 Google 搜索linux ".dhpcd"：了解它是什么......

• sudo find / -iname "*dhpc*"：找出哪个目录包含.dhpcd。

• sudo userdel -r test：删除用户test。这是因为.dhpcd被一个名为 的可疑用户执行test。

• sudo deluser --system --remove-all-files test：删除用户创建的所有文件test。

• 最后我重新启动了笔记本电脑，问题就解决了。

请注意，我不记得我是否创建了用户test。由于我不使用该帐户，因此我删除了与其相关的所有内容。我不知道仅删除是否可以解决问题.dhpcd。

Answer 3

我提出以下几点建议：

1. 断开系统与互联网的连接，看看该进程是否仍显示在窗口中top。如果消失了，那么可能是某个人或某个人安装的进程正在使用您的 CPU，也许是为了进行数据挖掘。然后，无论哪种情况，请尝试以下步骤。

2. 在以下位置搜索：

   • 计划任务

     • sudo crontab -l：寻找奇怪的 cronjobs
   • systemd 服务
     • sudo find / -iname "*dhpc*"

3. 使用top和ps：

   • top：

     1. 开始顶部

     2. 按下f并使用arrow键移动并选择所有与和/或或一般fields相关的。参见下面的屏幕截图。useruseridid

        

     3. 使用spacebar选择字段，然后按q退出。

        

现在看看PPID、SUSER、对该过程RUSER的SUID描述。 追踪罪魁祸首。

Answer 4

这些是可恶的加密货币矿工，pool.supportxmr.com:80他们窃取计算能力，从而增加云预算，更重要的是，他们占用了所有 CPU、RAM 和 Swap，几乎没有空间供您的应用程序运行。讽刺的是，它看起来像一个真实的系统进程，所以没有人对此产生怀疑。

如果你杀死它，PS它会自动重启。找到并删除源文件cron和所有相关文件。为了防止这种情况，不要依赖默认主机密码，确保从正确的存储库下载开源软件，而不是从随机位置下载。

另请遵循以下步骤：

1. 删除文件：

   rm -rf /home/{/path}/.dhpcd
   

2. 列出cron：

   crontab -l [options]
   

3. 消除cron：

   crontab -r [options]