linux的Systemctl挖矿病毒清扫

问题描述

服务器被感染了病毒，伪装成合法进程使用浪费cpu算力
在服务器中目前发现机器下面有两种可能存在的进程
一种是top种存在进程
69259 huawei 20 0 2420084 315660 2532 S 1199 1.0 135726:38 syst3md
另一种是存在进程
13614 huawei 20 0 7210224 4.586g 7896 S 2794 1.8 303625:06 cnrig

如图所示
服务中存在进程占满12核的CPU，显示的进程名称是 system3d ，而且用户还伪装成huawei，确实是被骗了一段时间

根据进程排查周有可能存在的问题进程是由这个目录挂起的任务

同时在 systemctl list-units --all --type=service 查看可以看到有些异常的服务，我这里有服务名为 user@1000.service 比较异常 是负责在system任务被杀的时候恢复进程的服务，所以关键的是要杀死守护进程

清理步骤

本次恶意的代码入侵者，都使用了一个伪装为 huawei 的账户启动挖矿的代码
在 /home/目录下有一个 huawei的家目录 所以执行如下步骤清楚账户

rm -rf /var/tmp #清楚安装的源码目录1
rm -rf /home/huawei #清楚安装的源码目录2

systemctl list-units --all --type=service| grep user #查看 存在名为用户1000 的 任务
systemctl stop user@1000.service # 有的时候不是 1000 是其他的编号

top | grep huawei #参看那个伪装成 huawei的进程编号
kill -9 对应进程

userdel huawei #删除对应的进程，删除对应的阻碍的进程

免密权限加固

rm -f /root/.ssh/* #清空所有密钥
touch /root/.ssh/known_hosts #允许登陆信任的文件存在
chattr +i /root/.ssh #关闭 .ssh 目录中添加密钥对的修改权限

其他废话

现在还没有能力定位IP，但是从中间文件中有发现部分邮箱地址。应该是挖矿所得的币最后发送的地址，后面的 donate.v2.xmrig.com 等信息查到应该是一个使用cpu挖门罗币的软件，很可能是通过免密入侵了后架设了代理。