← Chat Archive

Проверю, на VPS ли мы сейчас, и посмотрю на существующие скрипты мониторинга для единообразия стиля.

Есть passwordless sudo, `requests` доступен, `ss`/`find` на месте. Пишу единый файл `/home/ubuntu/vps_antivirus.py` — легковесный HIDS/антивирус-скрипт по образцу существующих watchdog-скриптов (Telegram-алерты, JSON baseline).

Порт 5555 — легитимный процесс OpenAlgo (`www-data`/python), а не майнер, но текущая проверка сети шумит на каждом запуске. Переделаю её: baseline известных LISTEN-портов + проверка только исходящих подключений на майнинг-порты.

Теперь пересоздам baseline и запущу тестовый скан для проверки.

Проверю, что детектор действительно ловит подозрительную активность — тестовый исполняемый файл во `/tmp` и штрих в критичном файле.

Детекция работает корректно. Отправлю тестовый Telegram-алерт, чтобы убедиться в доставке.

Скрипт готов и протестирован (проверьте Telegram — должно прийти тестовое сообщение). Файл: `/home/ubuntu/vps_antivirus.py`. **Что делает:** - Подозрительные процессы (майнеры по имени, запуск из `/tmp`/`/dev/shm`, удалённые-но-работающие бинарники) - Сеть: baseline известных LISTEN-портов (алерт на новый/подменённый листенер) + исходящие соединения на майнинг/C2-порты - Целостность crontab (user/root/`/etc/cron.d`) + поиск паттернов `curl|bash`, `base64 -d|bash`, `/dev/tcp/...` - Изменения `authorized_keys` (ubuntu + root) - SHA-256 целостность критичных файлов (passwd, sudoers, ваши watchdog-скрипты и сам антивирус) - Новые исполняемые файлы в `/tmp`, `/var/tmp`, `/dev/shm` - Новые SUID-бинарники в системных путях Алерты идут в Telegram (тот же бот, что у Claude_bot) и в лог `/home/ubuntu/log/vps_antivirus.log`. Состояние/baseline — `/home/ubuntu/log/vps_antivirus_state.json`. Осталось решить: добавить его в crontab для регулярных проверок? Могу поставить, например, `*/10 * * * * python3 /home/ubuntu/vps_antivirus.py --quiet` (без Telegram-спама при чистом скане — алерт шлётся только при находках). Подтвердите — и добавлю задачу в crontab.