Merkwüdige Ordner im Verzeichnis "home/"user"/.cache

[frankfurter]

Hallo in die Runde,
ich habe mir jetzt einen "Wolf" gesucht und nichts gefunden, was mir weiterhelfen könnte. Vielleicht weiß jemand von euch mehr.
Ich habe seit ein paar Tagen merkürdige Ordner im lokalen .cache Ordner entdeckt. Es fiel auf, als ich den Reiniger "Bleachbit" drüber laufen lies. Sie können nämlich nicht einfach gelöscht werden.

Sie lauten zB. "1" "h" "H" "Q" und in jedem dieser Ordner ist eine Datei Namens "control"

Weiß jemand, welches Programm diese Ordner anlegt und welche Funktion sie haben sollen?
Vielen Dank schon jetzt.

[orcape]

Hi,
das sieht so nicht wirklich gut aus.

in jedem dieser Ordner ist eine Datei Namens "control"

...klingt nach NSA...
Wem gehören die Ordner ?
Hast Du mal chkrootkit / rkhunter laufen lassen?
Gruß orcape

[frankfurter]

Also..
chkrootkit / rkhunter -> beide schimpfen nicht. Entdecken jedenfalls nichts.
Bin der Sache aber (vermutlich) auf die Spur gekommen.
Es könnte sich um Dateien handeln, die der relativ unbekannte Browser:

Qupzilla - Browser

da ablegt. Habe Debian wheezy nochmals neu aufgesetzt und dann permanent überprüft, ab wann dort Ordner mit "merkwürdigen" Inhalten abgelegt werden,- immer wenn ich den qupzilla browser benutzt habe, erschienen diese merkwüridgen Ordner. Kann es also nicht sicher sagen, das es Qupzilla ist, und was diese Dateien nun machen oder zu suchen haben, Vermutung liegt aber nahe. Nach Deinstallation kamen die Ordner nicht wieder. (bis jetzt) Vielleicht ein Bug, vielleicht etwas bösartiges: Keine Ahung.

P.S.: ich halte NSA und BKA, MAD Blah und Blubb und wie die Schlapphüte aus der kranken Schnüffelfraktion da alle heißen mögen für nicht besonders gute oder nette Zeitgenossen, aber so strunzehackedoof werden auch die nicht sein, so offensichtlichen Blödsinn abzulegen wobei.. man weiß ja nie

[orcape]

Hi,

chkrootkit / rkhunter -> beide schimpfen nicht.

...nun, auch ich glaube den beiden nicht immer alles aber meist ist das umgekehrt und die meckern mehr wie nötig...
Qupzilla habe ich noch nicht probiert, da es aber aus den original Quellen von Debian stammt, wird das schon passen.
Gruß orcape

[Cae]

Zeig' mal stat mit den jeweiligen Dateien als Argument und als Bonus noch lsattr, also den Output von

Code: Alles auswählen

$ stat 1 h H ...
$ lsattr 1 h H ...

Willkommen im Forum!

Gruss Cae

[rendegast]

Zeig' mal stat mit den jeweiligen Dateien als Argument und als Bonus noch lsattr, also den Output von

Was soll da herauskommen?
Die Dinger gehören dem User.


In eine andere Richtung

Ansonsten koennte man eine Schleife mit inotifywait aus inotify-tools verwenden,

leider gibt das nur die Dateisystemänderungen aus, kein Rückschluß auf den entsprechenden Prozeß.
Und wenn ich inotify als Trigger für ein 'lsof | grep' benutze, bekomme ich kein 'mkdir' oder 'touch' mit,
vorausgesetzt der Prozeß wäre böse.
Beim "guten" Prozeß eines Browsers aus dem debian-Archiv würden aber wohl Zugriffe in diesen cache-Verzeicnissen bemerkt, ein Browser ist ja meist längere Zeit an.

Frage ist, wie kriegt mensch die "bösen" Prozesse?