crontab 一直被覆盖

Question

我有一个带有 ubuntu 20.4 的新 VPS，我设置了 crontab 以运行 .sh 来进行一些数据库备份。
但是几天后备份没有运行。于是我去服务器查了一下，crontab改了。所以我再次设置了我的脚本，如果我运行 crontab -l 我可以看到我的配置。但几分钟后，配置更改为：* * * * * /etc/default/tjoy9mwlx 或 * * * * * /etc/apparmor.d/if3iil。
如果我运行 cat /etc/apparmor.d/if3iil 来查看文件，它看起来像一个二进制文件。

我不知道发生了什么，我也使用 rkhunter 运行了病毒/恶意软件扫描，看起来一切正常。

Answer 1

我有两个可能的版本。

一个版本是恶意软件会更改 cron 以运行恶意进程。一个二进制文件位于您的/etc/apparmor.d/目录中，这是非常可疑的，因为该目录用于存储apparmor的配置文件，这些文件不是二进制格式的。请注意，在这种情况下，rkhunter 可能无法识别恶意软件，因为它没有 rkhunter 正在寻找的明显恶意软件特征（例如确切的恶意软件哈希或可疑字符串）。为了验证是否是这种情况，您需要对二进制文件进行逆向工程并了解它们在做什么或请其他人来做。

第二个版本是 VPS 具有虚假配置，导致您的 cron 配置发生更改。要检查是否是这种情况，您可以监视在更改 cron 期间运行的进程并确定问题的根源。此外，您可以查看应用程序日志并找出哪个应用程序负责覆盖。

如果您需要更详细的答案，请分享有关您的问题的更详细信息，例如二进制文件的内容、监控结果、应用程序日志等。