похоже на вирус в процессе

[jerrard.genr]

Добрый день!
Имеем VDS на ubunto 16.04 и два сайта wp и на yii2

Видимо поймал вирус. проверили по "lsof" процессы и соединения , ничего не нашли. Похожу что заражен процесс(если такое возможно).
Вирус меняет файл index.php (вставляет вредоносный код), при изменении или удалении файла вручную , вирус его переписывает(не моментально, похоже что раз в день)

Подскажите куда копать ? Как можно отследить и поймать демона? auditb установить не получается, есть ли идеи?

[БТР]

auditb установить не получается

почему? это самый простой способ. Пакет называется auditd (не auditb).

используйте функционал inotify + strace

[AlexBKost]

jerrard.genr, вирусы на Ubuntu - это МИФ.

[Usermaster]

Для начала все пароли доступа к серверу сменили бы.
Можно отследить чужие авторизации в зависимости от того какими способами разрешены входы на сервер.

[snowin]

вирусы на Ubuntu - это МИФ.

понятие "вирус" довольно широкое
под него может попасть и какой-нить шифровальщик и криптомайникг, который не портит систему как таковую, но нагрузит её по самое неболуйся

[Usermaster]

понятие "вирус" довольно широкое
под него может попасть и какой-нить шифровальщик и криптомайникг, который не портит систему как таковую, но нагрузит её по самое неболуйся

Вирус довольно тонкая и изощьрённая вещь, как правило тело его в системе найти очень трудно.
А это обычно характеризуют термином "вредоносное ПО".

[БТР]

jerrard.genr, может поделитесь результатом? Тема отмечена как решённая.

[MooSE]

Вирус меняет файл index.php (вставляет вредоносный код), при изменении или удалении файла вручную , вирус его переписывает(не моментально, похоже что раз в день)

А не может ваш php-код быть с дырой?

Какой веб-сервер используете? Под каким пользователем он запущен? Кто владелец файла index.php? Попробуйте сделать две вещи:
1. Сделать файл недоступным для записи веб-серверу
2. Посмотреть логи веб-сервера на предмет злых ботов, пытающихся эксплуатировать дыры в стандартных движках.

[F12]

jerrard.genr, может поделитесь результатом? Тема отмечена как решённая.

+1