Merkwürdiger RasPi-Prozess lastet CPU aus und treibt Temperatur in die Höhe

IP-Symcon
1

Hallo liebe Foren-Experten,

vielleicht kann jemand von euch was damit anfangen. So alle drei Wochen legt ein mir unbekannter Prozess los. Ich habe mal ein Screenshot angefertigt…

20180219-RasPi-Prozessorlast.jpg

Kann damit jemand was anfangen? Der Prozess nannte sich in diesem Falle sw4OUvi4JoK6. Ich habe ihn gekillt und der RasPi läuft einwandfrei weiter, auch Symcon bzw. LCN, alles in Butter.

Kann das Schadsoftware sein? Kann ich das prüfen (Virenscanner für RasPi)?

Freu’ mich auf jeglichen Input.

1.000 Dank.

VG: Lars (Der sich Sorgen macht)

2

Gesund sieht das nicht aus. Könnte ein Miner sein. Hast Du einen Browser auf dem PI benutzt?

Du kannst versuchen, das Startkommando über die Prozess-ID herauszukriegen:
als root

ps auxwww|grep <pid>

<pid> mit der beim Top angezeigten PID ersetzen.

Dann durchhangeln und ggfls löschen.

Tommi

3

Hallo Tommi,

danke für den Tipp. Nachdem der Prozess schon wieder aktiv war, hab’ ich mal den von Dir genannten Befehl eingegeben und das folgende Ergebnis erhalten.

20180220-RasPi-Prozessorlast.jpg

Kannst Du es interpretieren?

Im /tmp-Verzeichnis sieht’s so aus…

20180220b-RasPi-Prozessorlast.jpg

Freu’ mich auf Rückmeldung.

Viele Grüße
sendet
Lars

4

das ist vermutlich wirklich Schadsoftware. Da hat sich was nach /tmp kopiert und läuft dann. Anständige Programme machen das nicht. Sachen in /tmp darf man löschen, also mit kill -9 den prozess beenden und dann die beiden Files aus /tmp löschen. Kann natürlich sein, das noch mehr verändert wurde und es sich deshalb wieder selbst nachlädt… Deshalb am Besten den Raspberry neu aufsetzen. Von IPS ein im heruntergefahrenen Zustand vorher ein Backup ziehen und dann wieder einspielen.

Tommi

5

Lad das file doch mal bei einem online virenscanner hoch…
Oder mach mal den Befehl: „file sw4… „ also den Dateinamen und Poste den Output hier.
Mit einem „strings -n5 „ bekommt man vielleicht auch ein paar Infos!
Kannst du Datei auch gerne irgendwo hochladen dann gucke ich mir die mal in einer gesicherten Umgebung an

6

Hi Ihr Lieben,

1.000 Dank spooniester für Dein Angebot, Dir das File mal anzuschauen. Ich hab’ jetzt den Empfehlungen folgend die Kiste neu aufgesetzt und bin dabei gleich auf Stretch und IPS 4.4 gegangen. Danke Uwe für die Unterstützung :slight_smile:

Und vielen Dank an Euch für die Hilfe.

Freu’ mich, in einer so regen und hilfsbereiten Community sein zu dürfen.

VG: Lars