Подозрительные процессы в Linux: как найти неизвестную службу, сетевое соединение и автозапуск

[Granulex]

В ~/.ssh/authorized_keys строка может начинаться с "command=..." – при входе по этому ключу запустится прописанная команда вместо оболочки. Для автоматизации и резервного копирования это штатный приём, и он же – самый тихий способ закрепиться в системе: ключ формально валиден, входы выглядят легитимными, чистка cron и systemd его не трогает. Такие строки в списке ключей стоит сверять первыми.