プロセスリスト：/bin/sh -e /proc/self/fd/11

bashさまざまな単一文字のコマンドラインオプションがサポートされています。

   All of the  single-character shell options documented in the
   description of the set builtin command can be used as options
   when the shell is invoked.  In addition, bash interprets the
   following options when it is invoked:

set -e少し複雑です：

          -e      Exit immediately if a pipeline (which may
                  consist of a single simple command),  a
                  subshell command enclosed in parentheses, or
                  one of the commands executed as part of a
                  command list enclosed by braces (see SHELL
                  GRAMMAR above) exits with a non-zero status.
                  ....

bash(1)これが実行されているようです/proc/self/fd/11。生成されたものは何でもコマンドを起動しpipe(2)、時間の経過とともに実行するコマンドを送信する可能性が高くなりますbash(1)。このパイプからコマンドsleep(1)を実行できます。スクリプトの次の行は新しいものを再起動する可能性がありますbash -e /proc/self/fd/11。 （おそらく上から下へbash -e /proc/self/fd/11 11</dev/fd/11伝播されるのでしょう11か？）

どのプロセスが原因であるかを確認するには、bash(1)実行します。パイプラインに対応する列のinode番号をlsof -p 9939記録します。 （または列または列にNODEリストされている可能性があります。）次に、対応するファイル記述子に関連付けられたinode番号を使用して実行します。FIFOSOCKETTYPEpipeNAMElsof | grep inode_number

これは非常に奇妙な現象であり、私はこれが攻撃者のツールキットの一部であると考える傾向があります。これは合理的かもしれませんが、私はそれが非常に疑わしいです。ログを慎重にスキャンして実行を検討することをお勧めします。http://www.chkrootkit.org/システムからファイアウォールなどを介して入ってくるすべての接続を調べます。一般的な妄想。