☰

Como posso descobrir o que o processo Zimbra (especificamente "b") está fazendo?

tag-icon • tag-icon ubuntu troubleshooting top zimbra
Como posso descobrir o que o processo Zimbra (especificamente "b") está fazendo?

Meu servidor de e-mail Zimbra (8.0.2 Community Edition) recentemente começou a gerar um processo interessante chamado "b".

top - 11:04:44 up 19 days, 18:47,  1 user,  load average: 6.25, 6.38, 5.57
Tasks: 131 total,   2 running, 129 sleeping,   0 stopped,   0 zombie
%Cpu(s): 17.8 us,  4.3 sy, 77.9 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem:   4049688 total,  3469008 used,   580680 free,   141496 buffers
KiB Swap:        0 total,        0 used,        0 free,   557404 cached

  PID USER      PR  NI  VIRT  RES  SHR S  %CPU %MEM    TIME+  COMMAND
18917 zimbra    20   0  311m 1724  948 S  78.1  0.0  23:03.87 b
18899 zimbra    20   0  311m 1616  856 S  77.1  0.0  23:15.35 b
19119 zimbra    20   0 25168 4656  756 R  43.6  0.1  13:22.86 java
26039 zimbra    20   0 2512m 1.1g  11m S   0.7 28.1 162:24.38 java
    1 root      20   0 24204 1992 1148 S   0.0  0.0   0:04.30 init
    2 root      20   0     0    0    0 S   0.0  0.0   0:00.26 kthreadd
    3 root      20   0     0    0    0 S   0.0  0.0   3:51.87 ksoftirqd/0
    5 root      20   0     0    0    0 S   0.0  0.0   0:00.08 kworker/u:0
    6 root      rt   0     0    0    0 S   0.0  0.0   1:10.28 migration/0
    7 root      rt   0     0    0    0 S   0.0  0.0   0:11.18 watchdog/0
    8 root      rt   0     0    0    0 S   0.0  0.0   1:10.13 migration/1
   10 root      20   0     0    0    0 S   0.0  0.0   4:06.88 ksoftirqd/1
   11 root      rt   0     0    0    0 S   0.0  0.0   0:10.32 watchdog/1
   12 root       0 -20     0    0    0 S   0.0  0.0   0:00.00 cpuset
   13 root       0 -20     0    0    0 S   0.0  0.0   0:00.00 khelper
   14 root      20   0     0    0    0 S   0.0  0.0   0:00.00 kdevtmpfs
   15 root       0 -20     0    0    0 S   0.0  0.0   0:00.00 netns
   16 root      20   0     0    0    0 S   0.0  0.0   0:00.00 kworker/u:1
   17 root      20   0     0    0    0 S   0.0  0.0   0:03.61 sync_supers
   18 root      20   0     0    0    0 S   0.0  0.0   0:00.10 bdi-default
   19 root       0 -20     0    0    0 S   0.0  0.0   0:00.00 kintegrityd
   20 root       0 -20     0    0    0 S   0.0  0.0   0:00.00 kblockd
   21 root       0 -20     0    0    0 S   0.0  0.0   0:00.00 ata_sff

Não consigo encontrar em lugar nenhum uma lista de processos para o Zimbra ou uma explicação do que eles fazem. Neste caso específico, devo me preocupar com um processo chamado “b”, e o que significa “b”? :D

Posso matá-lo?

Responder1

Depois de clicar em "c", recebo - "/var/tmp/b -B -o stratum+tcp://hecks.ddosdev.com:53 -u ilovebig > ..... " o que me faz pensar que o servidor tem um malware. Vou encerrar o processo manualmente, > porque parece estar conectado à mineração de bitcoin.

Como você mesmo disse, isso realmente parece ser malware.
Interessante ver que ele foi plantado sob o usuário zimbra, talvez um bug ou uso de senha incorreta?

De qualquer forma, você pode conseguir encerrar o processo, mas não sabe que outro malware está por aí.

Meu conselho seria reinstalar o servidor o mais rápido possível e, se possível (dependendo da quantidade de usuários), exportar os dados do usuário usando o cliente em vez de copiar /opt/zimbra completamente.

Responder2

Tente monitorá-lo usandotraçoourastreamento

Por exemplo

strace -p $(pgrep b)

informação relacionada