Кто запускает процесс?

[CyberDemon]

Здравствуйте, извините, если что не так или не в тот раздел
Краткое описание вопроса:
Имеем vps на Ubuntu 20.04.6 LTS.
В определенное время запускается процесс из каталога /home/username/tmp, после чего он там удаляется. До запуска никаких файлов в tmp не было. Процесс мне ооочень не нравится (полные детали могу выложить, если потребуется - что он делает).
Задача - найти кто и как это делает.

Вот я нахожу процесс, интересующий меня:

Код: [Выделить]

root@211944:~# ps -ef | grep python
root         791       1  0 Jan08 ?        00:00:00 /usr/bin/python3 /usr/share/unattended-upgrades/unattended-upgrade-shutdown --wait-for-signal
heaven    281421       1  0 05:26 ?        00:00:40 ./python3.61

Вот я вижу, что файлик удален (да и в каталоге пусто).

Код: [Выделить]

root@211944:~# ls -l /proc/281421/exe
lrwxrwxrwx 1 heaven heaven 0 Jan 10 14:09 /proc/281421/exe -> '/home/heaven/tmp/python3.61 (deleted)'

у юзера только один домен, на нем сайт на вордпрессе.
 Я в силу своих начальных знаний облазил весь гугл, но никакие варианты cron и альтернатив результата не дают. Уже и поиск по диску делал по "python", но все мимо Помогите нубасику, пожалста

[Peter_I]

Вообще программы могут запускаться из /home/user/.config/autostart и из /etc/xdg/autostart из desktop-файлов, из юнитов - service-файлы в /lib/systemd/system, из /etc/rc.local. Для анализа юнитов есть systemctl команда status.

[CyberDemon]

Спасибо за наводку! Везде было пусто или неинтересно, кроме юнитов.
Там нашлось ключевое слово Пока не знаю, что бы это такое было, буду выяснять. Если подскажете, куда дальше копать, буду очень рад.

Код: [Выделить]

             ├─php7.4-fpm.service
             │ ├─   781 php-fpm: master process (/etc/php/7.4/fpm/php-fpm.conf)
             │ ├─281405 php /home/heaven/tmp/phpbb2JbpHH phpbb
             │ ├─281421 ./python3.61
 Пользователь добавил сообщение 10 Января 2025, 21:41:24:Добавлю информацию по команде systemctl status php7.4-fpm.service

Код: [Выделить]

● php7.4-fpm.service - The PHP 7.4 FastCGI Process Manager
     Loaded: loaded (/lib/systemd/system/php7.4-fpm.service; enabled; vendor preset: enabled)
     Active: active (running) since Wed 2025-01-08 16:03:50 MSK; 2 days ago
       Docs: man:php-fpm7.4(8)
    Process: 895 ExecStartPost=/usr/lib/php/php-fpm-socket-helper install /run/php/php-fpm.sock /etc/php/7.4/fpm/pool.d/www.conf 74 (code=exited, status=0/SUCCESS)
   Main PID: 781 (php-fpm7.4)
     Status: "Processes active: 4, idle: 4, Requests: 164629, slow: 0, Traffic: 1.1req/sec"
      Tasks: 217 (limit: 3461)
     Memory: 314.5M
     CGroup: /system.slice/php7.4-fpm.service
             ├─   781 php-fpm: master process (/etc/php/7.4/fpm/php-fpm.conf)
             ├─281405 php /home/heaven/tmp/phpbb2JbpHH phpbb
             ├─281421 ./python3.61
             ├─518762 php-fpm: pool <другойдомен1>.com
             ├─522232 php-fpm: pool <другойдомен1>.com
             ├─528292 php-fpm: pool <другойдомен1>.com
             ├─530332 php-fpm: pool <другойдомен1>.com
             ├─530773 sh -c ./python2.64
             ├─530774 ./python2.64
             ├─530775 ./python2.64
             ├─532897 php-fpm: pool <другойдомен2>.com
             ├─532901 php-fpm: pool <другойдомен3>.net
             └─532906 php-fpm: pool <другойдомен3>.net
вот эти вот строчки c ./python3 и ./python2 здесь должны быть? и запуск php с чем-то там из tmp...

[jura12]

так это unattended-upgrades обновления системы. запускает их системный планировщик cron.

[CyberDemon]

так это unattended-upgrades обновления системы. запускает их системный планировщик cron.

хм... то есть, это безопасно? Меня смущает, что раньше такого не было (началось с конца декабря) и что он постоянно и без конца что-то качает из тырнета, пытаясь установить соединение с кучей хостов (почти всегда безуспешно). И запускается, почему-то, только от имени этого юзера, а не системы или еще там чего-то общего.

[Peter_I]

У меня в /etc/cron.d есть файл php, но я никогда не замечал, чтгобы это чем-то мешало.

[jura12]

в логах написано что он устанавливает и когда запускается. отключить можно закоментировава первые строчки в файле /etc/apt/apt.conf.d/50unattended-upgrades

[andytux]

отключить можно закоментировава первые строчки в файле /etc/apt/apt.conf.d/50unattended-upgrades

А в таком случае, зачем он вообще нужен?.. После установки системы, первым делом, удаляю соответствующий ему пакет.

[jura12]

А в таком случае, зачем он вообще нужен?.

он обновления автоматически ставит. это полезная функция.

[andytux]

...это полезная функция.

Это был не вопрос, а повод задуматься. Ты предложил "полезную функцию" сделать "бесполезным мусором" и замести его под ковёр.

[Peter_I]

andytux, а у меня "dpkg -S" не нашёл соответствующего ему пакета.

[jura12]

"не нашёл соответствующего ему пакета." можно искать файл по всем пакетам программой apt-file find nametobefound

[Peter_I]

jura12, благодарю, я никогда не пользовался этой утилитой. Она нашла пакет:
unattended-upgrades

[F12]

Peter_I, странно что "dpkg -S" не нашёл 

[Peter_I]

F12, да, странно сейчас попробовал ещё раз - не находит и от root, хотя

Код: [Выделить]

dpkg -L unattended-upgradesпоказывает список.