Sie haben es wahrscheinlich versehentlich mit einem verpfuschten Shell-Befehl geschafft. Ich habe solche Sachen selbst gemacht. Infolgedessen ist es wahrscheinlich mit harmlosen Daten gefüllt. Hier sind einige Gründe, warum ich vermuten würde, dass es nicht bösartig ist:

1. 1,5 GB wären ein extrem großer Virus. Da Viren normalerweise über ein Netzwerk übertragen werden, ist kleiner besser.
2. Es ist nicht ausführbar.
3. Malware versteckt sich normalerweise viel besser als dies.
4. file glaubt, dass es sich nur um eine Datendatei handelt.
ol>

Natürlich beweist nichts davon, dass es nicht bösartig ist (auch bekannt als Viren haben keine strong) > klein zu sein, nur weil es nicht ausführbar ist, bedeutet nicht, dass es möglicherweise nicht Teil einer böswilligen Nutzlast ist, und manchmal verstecken sie sich nicht), aber ich vermute, dass dies harmlos ist. Dies ist wahrscheinlich zu alt, aber ich würde sehen, ob Ihr Bash-Verlauf auf den betreffenden Tag / die betreffende Uhrzeit abgestimmt ist.

Mir ist klar, dass ich Ihnen keine Hinweise zur Analyse der Datei gegeben habe, aber Sie ' Wir haben bereits die wichtigsten Helfer getroffen ( Datei und Strings ), und sie haben nicht geholfen! Eine Datei, die mit zufälligen Daten aus einem fehlerhaften Befehl gefüllt ist, würde erklären, was Sie sehen, und hat wahrscheinlich eine bessere Chance, eine Datei mit dem Namen sudo in Ihrem Home-Verzeichnis zu generieren als Malware, IMO.

Hat jemand Tipps, wie Sie mit der Untersuchung dieser Datei fortfahren können?

Da die -Datei die "Daten" nicht als ausführbare Datei erkennt Es wird schwierig sein, eine dynamische Analyse durchzuführen (indem Sie sie ausführen), es sei denn, Sie finden den richtigen Einstiegspunkt.

Ein weiteres Standard-Linux-Tool, das Sie ausprobieren können, ist:

  stat  

Dadurch erhalten Sie ein wenig mehr Metadateninformationen als was Sie nur mit der Verzeichnisliste sehen können.

Ein weiteres Tool, das Sie ausprobieren können, ist:

  binwalk  

, mit dem Binärdateien wie Firmware-Images analysiert werden können. Wenn die Binärdatei beispielsweise ein Dateisystem enthält, erkennt binwalk dies möglicherweise.

Ein weiteres unter Linux frei verfügbares Tool ist "The Sleuth Kit". Wenn es sich bei der Binärdatei zufällig um ein Rohdatenträger-Image oder um Dateisystemdaten handelt, können Sie versuchen, sie mit "The Sleuth Kit" zu verarbeiten.

Sie können auch versuchen, die Binärdatei in IDA (the " Interaktiver Disassembler "von Hexrays (eine Freeware-Version ist verfügbar), um zu prüfen, ob IDA einen Sinn daraus ziehen kann. Aber wenn die -Datei es nicht erkennt, bin ich nicht zu hoffnungsvoll, dass IDA dies tut.

Ich würde mit history | beginnen grep sudo vom Terminal aus und sehen Sie sich die neuesten sudo-Befehle an, um festzustellen, ob sie fehlerhaft sind.

• Es ist Ihr Home-Verzeichnis.
• Sie haben es nicht sagte, es hat einen besonderen Besitz, also gehe ich davon aus, dass Sie es besitzen.
• Es ist mit ziemlicher Sicherheit ein verpfuschtes Shell-Kommando, also haben Sie es wahrscheinlich vom Terminal aus gemacht.
• Es könnte etwas sein, das von erstellt wurde ein Skript, aber es ist ziemlich selten, "sudo" -Befehle in ein Skript einzufügen.
• Es wird offen und offensichtlich angezeigt, sodass Sie es wahrscheinlich bemerkt hätten, wenn Sie es nicht kürzlich erstellt hätten.

Ich denke, die anderen Antworten decken fast alles bereits ab (und haben das Rätsel bereits gelöst). Eine weitere Möglichkeit, wenn Sie sich beim Löschen nicht sicher sind, ist ein Schrei-Test. Sie erhalten nicht unbedingt eine Auflösung bezüglich der Quelle der Datei, können jedoch sicher sein, dass das Entfernen sicher ist.

Benennen Sie die Datei in etwas anderes um und prüfen Sie, ob etwas passiert. Einige Dinge, auf die Sie achten sollten, sind

1. Die Datei wird neu erstellt. Das bedeutet, dass etwas Neues es geschafft hat und es möglicherweise einfacher ist, durch Bash-Verlauf oder Protokolle herauszufinden, was passiert.
2. Etwas stürzt ab. Abhängig davon, wie oft Programme abstürzen, kann dies ein roter Hering sein, aber es kann auch ein Hinweis auf die Quelle der Datei sein.
ol>

Andere Methoden, um einen Schreitest durchzuführen, sind das Entfernen aller Zugriffsberechtigungen So kann niemand in die Datei lesen oder schreiben oder die Datei beschädigen.

BEARBEITEN

Wie Daniel betont, funktioniert das Umbenennen der Datei nicht Wenn der Prozess die Datei noch geöffnet hat. Wenn die Datei geöffnet ist, können Sie alle geöffneten Dateien mit lsof anzeigen oder die Prozess-IDs der Prozesse finden, bei denen die Datei mit fuser geöffnet ist. ps gibt dann weitere Informationen zu den Prozessen.

  > Fixiereinheit sudo / home / bob / sudo: 3132 7070> ps 3132 7070 PID TTY STAT TIME COMMAND 3132? R 203: 50 pdflatex 7070 & le; Sl 0:45 evince  

Sie können "hexdump -C -n 512" versuchen, um festzustellen, ob im Binär- oder ASCII-Speicherauszug etwas auf Sie zukommt. Es könnte eine Mischung aus Binärdaten und Textdaten sein. Wie bei einem Skript, das Sie falsch eingegeben haben, können Sie mit dem Hexdump möglicherweise einen Teil des Skripts anzeigen.

Sie können auch head ausprobieren und die ersten Zeilen der Datei anzeigen. Die ersten paar Zeichen könnten etwas über den Dateityp verraten. Weitere Informationen finden Sie unter magische Zahl.

Sie können den einfachen alten Weg gehen: Installieren eines Antivirenprogramms und Scannen der Datei. Es ist keine perfekte Lösung, aber es ist ein Ausgangspunkt, und zumindest würde es Ihnen zumindest ein wenig Ruhe geben.

Ich bin tatsächlich ein bisschen überrascht, dass niemand dies vorgeschlagen hat.

Ich bin mir nicht sicher, auf welcher Distribution Sie sich befinden, aber ich bin mir sicher, dass es viele Antivirenlösungen gibt, die funktionieren würden. Auf den ersten Blick würde ich ClamAV für so etwas ausprobieren, scheint einfach zu installieren.