Sysstat su Ubu8.10 e picchi CPU Notturni

[CapodelMondo]

Salve a tutti.

ieri ho installato la suite sysstat per la mia ubuntu 8.10 per poter avere i log sui vari carichi di sistema.

Stamattina vado a controllare il mio primo giorno di log e mi trovo un lavoro notturno della CPU poco inferiore al 90% come potete vedere qui sotto.

Linux 2.6.27-14-generic (server) 	24/04/2009 	_i686_

00:00:01        CPU     %user     %nice   %system   %iowait    %steal     %idle
00:05:02        all     83,80      0,00      4,66      0,05      0,00     11,49
00:15:01        all     84,32      0,00      4,65      0,10      0,00     10,92
00:25:02        all     84,66      0,00      4,82      0,04      0,00     10,47
00:35:01        all     84,72      0,00      4,62      0,05      0,00     10,61
00:45:02        all     85,02      0,00      4,88      0,05      0,00     10,05
00:55:01        all     85,52      0,00      5,02      0,04      0,00      9,42
01:05:01        all     85,81      0,00      4,71      0,05      0,00      9,42
01:15:01        all     86,10      0,00      4,68      0,05      0,00      9,17
01:25:01        all     86,42      0,00      5,22      0,14      0,00      8,23
01:35:02        all     86,36      0,00      5,30      0,04      0,00      8,30
01:45:01        all     86,80      0,00      5,01      0,02      0,00      8,17
01:55:01        all     87,06      0,00      4,55      0,15      0,00      8,24
02:05:01        all     86,91      0,00      4,64      0,03      0,00      8,42
02:15:01        all     86,67      0,00      4,84      0,03      0,00      8,46
02:25:01        all     86,89      0,00      4,61      0,04      0,00      8,47
02:35:01        all     87,56      0,00      4,36      0,03      0,00      8,06
02:45:02        all     86,82      0,00      5,74      1,25      0,00      6,19
02:55:01        all     87,97      0,00      4,21      0,22      0,00      7,60
03:05:02        all     88,12      0,00      4,16      0,00      0,00      7,72
03:15:01        all     88,24      0,00      4,21      0,04      0,00      7,51
03:25:01        all     88,50      0,00      4,12      0,04      0,00      7,34
03:35:01        all     88,56      0,00      4,22      0,01      0,00      7,21
03:45:01        all     88,68      0,00      4,08      0,03      0,00      7,21
03:55:01        all     88,22      0,00      4,25      0,19      0,00      7,33
04:05:01        all     88,89      0,00      3,89      0,03      0,00      7,19
04:15:01        all     88,93      0,00      4,06      0,09      0,00      6,92
04:25:01        all     89,24      0,00      4,05      0,06      0,00      6,65
04:35:01        all     88,89      0,00      4,01      0,04      0,00      7,07
04:45:01        all     89,43      0,00      4,00      0,03      0,00      6,54
04:55:01        all     89,36      0,00      4,07      0,23      0,00      6,34
05:05:01        all     88,73      0,00      4,20      0,05      0,00      7,03
05:15:01        all     88,97      0,00      4,07      0,03      0,00      6,94
05:25:01        all     89,35      0,00      4,02      0,14      0,00      6,49
05:35:01        all     89,16      0,00      4,10      0,02      0,00      6,72
05:45:01        all     89,42      0,00      3,93      0,03      0,00      6,62
05:55:01        all     89,52      0,00      4,04      0,32      0,00      6,12
06:05:01        all     89,61      0,00      3,97      0,01      0,00      6,41
06:15:01        all     89,41      0,00      3,92      0,02      0,00      6,65
06:25:02        all     89,43      0,00      4,13      0,06      0,00      6,37
06:35:01        all     89,65      0,00      4,07      0,04      0,00      6,25
06:45:02        all     89,99      0,00      3,99      0,02      0,00      6,00
06:55:01        all     89,77      0,00      3,92      0,11      0,00      6,19
07:05:01        all     89,88      0,00      4,03      0,02      0,00      6,08
07:15:01        all     89,82      0,00      4,04      0,03      0,00      6,12
07:25:02        all     90,18      0,00      4,25      0,05      0,00      5,53
07:35:01        all     52,67      0,01      9,11      0,43      0,00     37,78
07:45:02        all      9,56      0,15      3,50      0,62      0,00     86,17
07:55:02        all      9,90      0,29      3,71      3,53      0,00     82,56
08:05:01        all     12,66      0,00      4,53      0,48      0,00     82,33
08:15:01        all     17,28      5,57     13,96      8,68      0,00     54,52
08:25:01        all     14,81      0,00      5,29      0,34      0,00     79,56
08:35:01        all     14,00      0,00      4,53      0,06      0,00     81,41
08:45:01        all     18,92      0,00      6,52      0,62      0,00     73,93
Average:        all     77,43      0,11      4,67      0,36      0,00     17,42

Ora ho amule che stava scaricando (1 solo file senza aver nulla di condiviso) e a parte qualche cavolata come Awn, conky, skype e pidgin per il resto ho tutto di default e comunque non avevo quei picchi ieri sera mentre utilizzavo il pc con tutti i software elencati sopra attivi.

Di dubbi me ne son venuti parecchi, compreso quello che mi abbiano messo il pc in una simpatica botnet. Voi che dite? Esiste una maniera per vedere il processo che ha causato quei picchi ??

Ho allegato l output completo di sar per i più volenterosi

P.S. Da notare come, intorno alle 7.30 di stamattina l utilizzo cpu si sia normalizzato. Io mi sono messo al pc circa alle 8 ma di solito quello è l orario in cui, anche se solo per pochi minuti prima del lavoro, ricomincio ad utilizzare il pc dopo la pausa notturna.

[Psycotic]

lo usi ogni tanto chkrootkit e rkhunter? Ti controllano se hai qualche rootkit installato sul tuo pc.

Dopo di tutto.. Ma cosa c'e' meglio di un bel script!!
Fatti uno script che vada a vedere quali processi ci son che girano, ti ricordo che se hai un rootkit installato non e' detto che riesci a capire quale sia il processo incriminato xke' in genere nn si evince nientre tra i processi perche' ti cambiano anche il ps e il top.

Quindi controlla crontab, rootkit e poi scriptino x risalire al calpevole. Magari ti parte qualche screen saver notturno

[CapodelMondo]

ho installato rkhunter e dai vari check schedulati oltre a quelli fatti girare da me non trova nulla se non un warning in un file type.

non ho screen saver abilitati o altra roba simile....

mi sa che per stanotte devo programmare un alto livello di logging oltre che qualche capatina "fisica" di tanto in tanto.

per lo scriptino sono d accordo ma sono un po debole da quel lato...