find . -type d -empty -exec rmdir -v {} +
🔍 Разбор:
• -type d — ищет только директории
• -empty — отбирает пустые
• -exec rmdir -v {} + — удаляет их с подробным выводом

find . -type d -empty -delete

auditctl -a exit,always -F arch=b64 -S execve
ausearch -x /usr/bin/processord

inotifywait -mr /tmp /etc /home -e create,open,exec

strace -ff -p $(pidof processord) -o trace.log

ps -o ppid= -p $(pidof processord) | xargs pstree -s

bpftrace -e 'tracepoint:syscalls:sys_enter_execve { printf("%s %s\n", comm, str(args->argv[0])); }'

import psutil

def scan_processes():
    suspicious = []
    for proc in psutil.process_iter(['pid', 'name', 'exe', 'cmdline']):
        try:
            path = proc.info['exe'] or ''
            if '/tmp' in path or 'sh' in proc.info['name']:
                suspicious.append(proc.info)
        except psutil.AccessDenied:
            continue
    return suspicious

import socket

def get_open_ports():
    return [conn.laddr.port for conn in psutil.net_connections() if conn.status == 'LISTEN']

from watchdog.observers import Observer
from watchdog.events import FileSystemEventHandler

class TmpWatcher(FileSystemEventHandler):
    def on_created(self, event):
        print(f"[!] Создан файл в /tmp: {event.src_path}")

import openai

def explain_event(event_text):
    response = openai.ChatCompletion.create(
        model="gpt-4",
        messages=[{"role": "user", "content": f"Объясни, может ли это быть вредоносным:\n{event_text}"}],
        temperature=0.2,
    )
    return response['choices'][0]['message']['content']

from rich.console import Console
console = Console()

def report(process):
    text = f"Подозрительный процесс: {process['name']} — {process['exe']}"
    console.print(f"[bold red]⚠️  {text}[/bold red]")
    explanation = explain_event(text)
    console.print(f"[green]→ {explanation}[/green]")

ss -npi state established

ss -nti '( dport = :443 )'

# Приостановить выполнение команды, удерживая её в foreground через SIGTSTP
sleep 9999
^Z  # (Ctrl+Z) — ставит в фон и останавливает

# А теперь хитрость: "fg" + "Ctrl+Z" снова — это цикл управления процессом вручную

# Но можно сделать изолированную паузу через cgroups:
cgcreate -g freezer:/pause
cgclassify -g freezer:/pause <PID>
echo FROZEN > /sys/fs/cgroup/freezer/pause/freezer.state

echo THAWED > /sys/fs/cgroup/freezer/pause/freezer.state

sudo -v  # обновим кеш
SUDO_ASKPASS=/bin/false sudo -A ls 2>/dev/null  # 💡 обманем sudo, не вводя пароль

sudo -n true || echo "🔐 Sudo истек, пароль нужен"

sudo -n true && echo "Осталось $(($(stat -c %Y ~/.sudo_as_admin_successful)+15*60 - $(date +%s))) секунд"

fuser -vn tcp 8000

fuser /var/log/syslog

fuser -km /mnt/usb

# Ловим исходящие соединения к порту 53 (DNS)
auditctl -a always,exit -F arch=b64 -S connect -F dir=out -F a2=0x35000000