From e5abc1fe99340b979b18864d978179f71fe8f5c5 Mon Sep 17 00:00:00 2001
From: vlapa <vlapa@ya.ru>
Date: Sat, 13 Jun 2026 20:33:26 +0300
Subject: First

---
 ...\201\321\201\320\276\320\262 \320\262 Linux.md" | 27 ++++++++++++++++++++++
 1 file changed, 27 insertions(+)
 create mode 100644 "LINUX/\320\220\320\262\321\202\320\276\320\274\320\260\321\202\320\270\321\207\320\265\321\201\320\272\320\276\320\265 \320\276\320\261\320\275\320\260\321\200\321\203\320\266\320\265\320\275\320\270\320\265 \320\277\320\276\320\264\320\276\320\267\321\200\320\270\321\202\320\265\320\273\321\214\320\275\321\213\321\205 \320\277\321\200\320\276\321\206\320\265\321\201\321\201\320\276\320\262 \320\262 Linux.md"

(limited to 'LINUX/Автоматическое обнаружение подозрительных процессов в Linux.md')

diff --git "a/LINUX/\320\220\320\262\321\202\320\276\320\274\320\260\321\202\320\270\321\207\320\265\321\201\320\272\320\276\320\265 \320\276\320\261\320\275\320\260\321\200\321\203\320\266\320\265\320\275\320\270\320\265 \320\277\320\276\320\264\320\276\320\267\321\200\320\270\321\202\320\265\320\273\321\214\320\275\321\213\321\205 \320\277\321\200\320\276\321\206\320\265\321\201\321\201\320\276\320\262 \320\262 Linux.md" "b/LINUX/\320\220\320\262\321\202\320\276\320\274\320\260\321\202\320\270\321\207\320\265\321\201\320\272\320\276\320\265 \320\276\320\261\320\275\320\260\321\200\321\203\320\266\320\265\320\275\320\270\320\265 \320\277\320\276\320\264\320\276\320\267\321\200\320\270\321\202\320\265\320\273\321\214\320\275\321\213\321\205 \320\277\321\200\320\276\321\206\320\265\321\201\321\201\320\276\320\262 \320\262 Linux.md"
new file mode 100644
index 0000000..4e359d0
--- /dev/null
+++ "b/LINUX/\320\220\320\262\321\202\320\276\320\274\320\260\321\202\320\270\321\207\320\265\321\201\320\272\320\276\320\265 \320\276\320\261\320\275\320\260\321\200\321\203\320\266\320\265\320\275\320\270\320\265 \320\277\320\276\320\264\320\276\320\267\321\200\320\270\321\202\320\265\320\273\321\214\320\275\321\213\321\205 \320\277\321\200\320\276\321\206\320\265\321\201\321\201\320\276\320\262 \320\262 Linux.md"	
@@ -0,0 +1,27 @@
+Этот скрипт помогает находить потенциально вредоносные или несанкционированные процессы, которые маскируются под системные, используют необычные порты или расположены в нетипичных путях.
+```sh
+#!/bin/bash
+
+echo "Поиск подозрительных процессов..."
+
+# Процессы, запущенные из /tmp, /dev, /run — подозрительно
+echo "Процессы из временных директорий:"
+ps axeo pid,comm,args | grep -E '/(tmp|dev|run)/' | grep -v grep
+
+# Процессы без имени (заглушки или rootkit-обфускация)
+echo -e "\n❓ Процессы без имени:"
+ps -eo pid,comm | awk '$2 == "[]" || $2 == ""'
+
+# Подозрительные net-соединения (в обход ssh, http, https)
+echo -e "\n🌐 Нетипичные входящие соединения:"
+sudo lsof -i -nP | grep LISTEN | grep -Ev ':(22|80|443)' | grep -v "COMMAND"
+```
+
+🟢 Ищет процессы в нестандартных директориях (/tmp, /dev)
+🟢 Показывает безымянные процессы — возможные признаки rootkit
+🟢 Выводит порты, на которых слушают нетипичные демоны
+
+➡️ **Можно добавить в crontab для ежедневного обновления**:
+
+`0 * * * * /path/to/proc_check.sh >> /var/log/proc_scan.log
+
-- 
cgit v1.2.3