Syslogd verursacht 100% CPU Auslastung

Moin zusammen,

da ich mich am Wochenende gewundert habe, warum mein ESXi-Server so am pumpen ist, habe ich mir mal die Logs aller VMs angeschaut und festgestellt das meine File-Server-VM 100% CPU durchgehend hat.

Verursacher scheint /sbin/syslogd zu sein ...



Ich habe mir das syslog angeschaut und folgendes gesehen:





Leider weiß ich nicht, was das sein soll .... und warum der user "nas" das ausführt ... ein Cron-Job ist nicht hinterlegt.

Ich habe bereits rsyslog deinstalliert, da ich irgendwo gelesen hatte, dass es daran liegen soll ... Dies brachte leider keinen Erfolg.

Kann mir evtl. jemand einen Denkanstoß geben oder direkt helfen?

​Vielen Dank im Voraus!

Engelsen schrieb:

Ich habe mir das syslog angeschaut und folgendes gesehen:

Zum Vergrößern anklicken....

Eine Lognachricht pro Minute ist so lächerlich wenig, da muss syslogd nicht mal mit dem Daumen drehen aufhören.

Vielleicht komprimiert der gerade eine sehr große Logdatei? Kannst ja mal schauen, ob du mit iotop etwas findest.

Engelsen schrieb:

Leider weiß ich nicht, was das sein soll .... und warum der user "nas" das ausführt ... ein Cron-Job ist nicht hinterlegt.

Zum Vergrößern anklicken....

Mach mal "fgrep -R update /etc/*cron*" oder so ähnlich. Aber wie schon gesagt, das dürfte wohl kaum das eigentliche Problem sein, daher solltest du dich darum erst später kümmern.

Danke für die Antwort.

iotop zeigt überall 0.00 KB/s an, also geschrieben oder gelesen wird dort grade sehr wenig

Ausgabe des anderen Befehls:
​
Sieht meiner Meinung nach auch nicht auffällig aus ....

Lass vielleicht mal das fgrep über die kompletten /etc und /var Verzeichnisse laufen. Bzw. nimm The Silver Searcher, der ist ein mehrfaches schneller: https://geoff.greer.fm/ag/ (gibt's als fertiges Paket in den meisten Distributionen).

Zum syslog fällt mir auch nicht viel ein. Falls du dich ein bisschen mit C oder syscalls auskennst, könntest du mal mit "strace -p" schauen, was der Prozess so treibt.

Danke für die Tipps, aber das ist mir leider dann doch zu hoch!

Wahrscheinlich ist es schneller einen neuen File-Server aufzusetzen und die fstab und smb.conf dort wieder reinzukopieren und die vmdks neu einzubinden ...

Hängt die VM am Internet?

Sieht mir so aus, als ob da jemand auf deinen Rechner eingedrungen ist. /var/tmp ist ein typischer Pfad um böse Malware zu platzieren, da der üblicherweiße beim Neustart gelöscht wird. Dann auch noch ".v3" als Verzeichnisnamen, also ein eigentlich versteckter Pfad. Dass der User "nas" das Programm gestartet hat, macht auch Sinn. Der Angreifer ist wohl über einen Dienst eingedrungen, der unter "nas" lief und konnte seine Rechte nicht erweitern. Vllt. minest du gerade irgendwelche Cryptocoins für jemanden. Ich würde die Maschine mal vom Netz nehmen..

stwe schrieb:

Hängt die VM am Internet?.

Zum Vergrößern anklicken....

Danke für die Antwort.

Ja, tut sie und den Verdacht hatte ich am Ende auch.

Die Maschine ist vom Netz und wurde neu aufgesetzt, Ports in der Firewall wurden geschlossen.

​Jetzt ist Ruhe!