Plesk hängt sich auf

Zitat von Chriz123

Ich weiß nur nicht wie ich dem jetzt auf die Schliche kommen kann um es zu beheben.

Du könntest schauen, ob das Plattensystem vom Server noch genügend Plattenspeicher bereitstellt.

Weiterhin könntest du dir auch noch die Logs auf dem Server unter dem Verzeichnis /var/log anschauen. Eventuell gibt es dort auch das Problem zu sehen, welches Plesk gerade hat.

Crosspost: cant access webui and cron error

---

Ein schnelle Suche lässt mich vermuten, das Du dir eine Malware eingefangen haben könntest.

https://www.reddit.com/r/CentOS/comments/12ef76l/need_help_in_removal_perfcc_and_perfctl_coin/

https://any.run/report/22e4a57ac560ebe1eff8957906589f4dd5934ee555ebcc0f7ba613b07fad2c13/75c73370-08d4-480e-8d9c-a2408dde9839

Wie schaut es denn mit der CPU Auslastung im SCP aus?

Zitat von Chriz123

Speicher is noch mehr als genug vorhanden, da ist ja nicht wirklich was drauf auf der Kiste.

Durch die logs hab ich schon geschaut und bin nicht fündig geworden, sind aber auch einige und wirklich versiert bin ich noch nicht. hab jedoch nichts mit der ungefähren Uhrzeit gefunden in den logs.

Auf die CPU Auslastung hab ich gar nicht geschaut, ich kam ja nicht mal auf die Idee mir was eingefangen zu haben. Bin total stur davon ausgegangen das irgendwas mit Plesk nicht stimmt, dementsprechend auch nur dort rumgesucht . In der History vom SCP kann man aber sehen das der paar fast durchgehend auf voll Last war bis ich das ding zurück gespult habe. Heute auch nur wesentlich kürzer da ich schneller eingreifen konnte...

Nur wie kommt die darein? Hab eigentlich nur das nötigste in derUFW offen. ssh nur über key...

Gestern Abend schon Snapshot (kurz nach Basis Einrichtung von Plesk) und das Plesk Backup zurück gespielt. und nach ca 16 stunden hab ich wieder die mail bekommen mit dem cron job. Jetzt hab ich das wieder so gehandhabt, und nach dem Hinweis mit der malware alle aufgeführten Orte von dem reddit Thread durchwühlt aber nichts gefunden.

was mach ich da nun am besten ?

Platt machen von vorne? Würde aber gern wissen wie der sich da überhaupt reinkriechen kann.

Alles anzeigen

Wäre schon wichtig, die Ursache zu finden. Ansonsten nützt es dir ja nichts, wenn du den Server platt machst und identisch wieder aufsetzt. Dann hast du die gleiche Malware am nächsten Morgen wieder drin und bist keinen Schritt weiter als jetzt. Was hast du denn außer Plesk noch installiert? Laufen auch bereits eigene Websites, falls ja welche(r) Webserver? Welches CMS verwendest du ggf dafür und sind sie alle auf dem neuesten Stand? Oft genug sind die Einfallstore da zu finden. Laufen sonst noch irgendwelche Services/Programme? Außer dem Mining-Programm meine ich natürlich. . Existiert /etc/cron.hourly/perfclean und was steht drin? Das wird ja wohl stündlich ausgeführt.

Eine einfache Suche nach perfcc bringt auch schon einige Suchtreffer zu der Malware und wie einige zumindest meinen sie beseitigt zu haben.

Also ich würde mal am KVM einen top laufen lassen und wenn’s soweit ist schaust was er sagt.. also load und consuming process.

KVM deshalb weil du remote ja nicht mehr hin kommst wenn ich’s richtig verstanden habe.

Wir hatten so ein Phänomen auch mal, da ist das war dann am Ende mit zwei befehlen behoben bilde ich mir ein

Wenn der Verdacht besteht, dass das System kompromittiert ist, und der Angreifer womöglich bereits Rootrechte besitzt (die genannten Dateien kann man als normaler User nicht erstellen/bearbeiten), würde ich anders vorgehen:

• System stoppen!
• Image des Speichermediums herunterladen und für Beweis-/Analysezwecke sichern, keinesfalls mehr RW mounten! (Entweder mittels Snapshot-Export oder im Rettungssystem.)

Danach kann man die Inhalte des Speichermediums immer noch in einer abgeschotteten Umgebung analysieren. Oder man startet den betroffenen Server im Rettungssystem und sieht sich dort alles an. Aber auch im Rettungssystem gilt: Keinesfalls in das Speichernedium chroot'en oder irgendwelche Binaries davon ausführen! Die könnten alle verseucht sein…