针对挖矿病毒的简易三板斧

程序员小强_

已于 2024-01-19 14:14:15 修改

阅读量178

点赞数

文章标签： linux 网络运维

于 2023-07-30 10:41:31 首次发布

本文链接：https://blog.csdn.net/dzqxwzoe/article/details/132004501

版权

一. 简介

本文只基础说明遇到挖矿病毒的简单快速的处理思路，现实生产中遇到的病毒复杂的多。当企业面对病毒攻击的时候，一定要尽快交予专业安全人士处理，减少损失。

二. 实现过程（研究内容）

以linux系统为例，对中毒主机进行断网隔离后，查找挖矿病毒的基本操作：

1寻找进程，使用命令：Top

2删除进程，使用命令：kill -i PID

3删除文件，使用命令：rm -rf

后续处理：溯源分析，修补漏洞，安全加固

三. 检测方式（防御建议）

挖矿病毒特征：最大的特征就是主机的cpu资源占用，可以直接使用top命令查看进程来发现可疑进程。一般情况下，cpu使用居高不下的就是挖矿进程了。

根据进程的pid找到进程的文件路径，然后删除文件，杀死进程

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ALa8C1zt-1690684880926)(https://image.3001.net/images/20210916/1631760055_6142aeb77e9bb45241da9.png!small)]

图1：确认挖矿进程

删除进程，命令：kill -9 PID

图2：进程清除

寻找文件，命令：ls -l /proc/PID/exe

删除文件，命令：rm -rf

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-iat1gkLy-1690684880928)(https://image.3001.net/images/20210916/1631760056_6142aeb83b3adefbb412b.png!small)]

图3：寻找并删除恶意文件

如果你不确定文件是否有毒，那可以将可疑文件上传到在线沙箱，如微步和virustotal。要是文件已经没了，你可以把进程dump下来再上传。

图4：在线沙箱结果

到这只是针对挖矿进程的基本处理，后续还要做这几件事。

1检查网络连接是否有C2通信，查看是否有其他非正常连接

重点关注防火墙iptables，命令：iptables -L -n

2检查最近修改的文件，避免遗漏，因为挖矿病毒，往往还携带者其他病毒或工具包

命令：find /etc -ctime -2 （命令解释：指定目录/etc，且近2天内的新增文件）

3修补漏洞并加固系统

3.1你可以使用上述提到的沙箱确定病毒的家族，然后使用搜素引擎确认使用的漏洞，并与自己的系统做比对

3.2通过病毒的行为确认漏洞。最常见的就是爆破各种服务的弱口令和未授权等。

列举处理中会遇到的一些问题，推荐几个小技巧

使用top命令时，未发现cpu占用率高的进程？

1.系统命令被修改:

建议直接去其他正常主机上下载命令源文件至感染主机上

2使用busybox工具替代系统的命令:

存在守护进程监视操作行为，发现敏感操作挖矿程序自动停止

多试几次top命令，因为卡顿等原因有时会看到未来得及退出的进程，很实用。

预加载so文件，隐藏进程

请参考往期公众号文章，https://mp.weixin.qq.com/s/Vu568MO03nHYgYznsLkC3w

删除文件和进程后，过段时间再次出现？

病毒采用了持久化的防护，要仔细检查启动项，计划任务，守护进程

1.查看计划任务，命令：cat /etc/crontab。计划任务文件有很多，不要看漏。

/etc/crontab；/var/spool/cron；/etc/anacrontab；

/etc/cron.d/；/etc/cron.daily/；/etc/cron.hourly/；

/etc/cron.weekly/；/etc/cron.monthly/；/var/spool/cron/

2.查看启动项

CentOS7以下版本：chkconfig –list；

CentOS7及以上版本：systemctl list-unit-files；

关闭启动项

CentOS7以下版本：chkconfig 服务名 off；

CentOS7及以上版本：systemctl disable 服务名；

启动项文件有很多，不要看漏。

/usr/lib/systemd/system；/usr/lib/systemd/system/multi-user.target.wants

/etc/rc.local；/etc/inittab；/etc/rc[0-6].d/；/etc/rc.d/

tem；/usr/lib/systemd/system/multi-user.target.wants

/etc/rc.local；/etc/inittab；/etc/rc[0-6].d/；/etc/rc.d/

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。