清理服务器挖矿木马病毒

前言

假期远程办公，于是把服务器ip映射到了公网。不成想被人植入了挖矿木马病毒，在此记录一下这次发现和解决的经历。

---

如何确认是挖矿木马？

先简单介绍一下，服务器装了Centos系统，今天突然发现使用 cd 命令时使用 Tab 键居然报了这样的错误：

cannot create temp file for here-document: No space left on device

然后使用命令 df -h 查看硬盘空间，发现根目录居然满了，接着（在root权限下）使用 ls -A 命令，才发现全是类似于 ethminer.tar 的文件，大概是这样：

一查ethminer，挖矿程序无疑。

使用 rm -rf ethminer* 尝试删除这些文件后，发现过一会又出现了。。于是猜测有定时脚本任务，使用 crontab -l 查看定时任务，回显：

@daily /var/tmp/.tmp/./.b4nd1d0
@reboot /var/tmp/.tmp/./.placi > /dev/null 2>&1 & disown
* * * * * /var/tmp/.tmp/./.placi > /dev/null 2>&1 & disown
@monthly /var/tmp/.tmp/./.placi > /dev/null 2>&1 & disown

一看就不是什么好东西。使用vim查看一下，确诊服务器被人植入了ethminer挖矿木马无疑！

处理方式

1. 首先，直接删除木马脚本以及下载的乱七八糟的东西，这里发现不止 /var/tmp路径下有相关木马， / 、 /root 等目录也惨遭荼毒。

   rm -rf /var/tmp/.tmp/./.b4nd1d0
   rm -rf /var/tmp/.tmp/./.placi
   rm -rf /var/tmp/.tmp/./bin
   rm -rf /var/tmp/.ladyg0g0
   rm -rf /usr/bin/.locationesclipiciu
   rm -rf /usr/bin/.pidsclip
   rm -rf /.b4nd1d0
   rm -rf /root/.b4nd1d0
   rm -rf /root/bin
   rm -rf /usr/.SQL-Unix
   rm -rf /usr/tmp
   rm -rf /usr/bin/sshd
   # 这里注意ethminer.tar.*文件不一定在哪个目录
   rm -rf /root/ethminer*
   rm -rf /var/tmp/.tmp/./ethminer*
   
   #删除 sclipicibosu 用户
   userdel -r sclipicibosu
   # 删除不成功就使用chmod修改/etc/passwd和/etc/shadow权限，再使用vim删除/etc/passwd和/etc/shadow该用户相关内容。
   rm -rf /home/sclipicibosu
   
   # 恢复.bashrc文件
   cp /etc/skel/.bash* /root/
   cp /etc/skel/.bash* /home/admin/
   

2. 然后，清除一下 crontab 定时任务

   crontab -e
   

   将恶意的定时任务全都删掉，然后先按esc, 输入 :wq ，即保存并退出。

3. 重启， reboot

4. 关闭外网映射。

大功告成！

参考

• 记一次 挖矿程序入侵和处理
• root用户登录出现 -bash-4.2#