记一次挖矿排查与解决

记一次挖矿排查与解决

1 发现问题

阿里云服务器出现一个字母组成的进程，占用大量CPU资源，杀掉后自动恢复，crontab定时任务删掉会自动恢复。

涉及命令：
1、top  #查看资源占用情况
2、ll /proc/PID  #查看具体进程信息
3、crontab -l  #查看crontab定时任务

![在这里插入图片描述](https://img-blog.csdnimg.cn/20210129184900610.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naG
VpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L21raGh4eHR0eHM=,size_16,color_FFFFFF,t_70)

2 排查问题

2.1 排查定时任务

cat /root/.systemd-service.sh #查看文件

查看定时任务指定文件.systemd-service.sh，对文件践行base64解码
base64解码地址：https://base64.us/会出现目录/tmp/.X11-unix
切到对应目录，查看01，11，22文件，里面对应这进程id.

cd /tmp/.X11-unix  #切到对应目录
ls   #查看文件夹
cat 01  #查看文件

总结：本小节排查总结
1个可执行文件：/root/.systemd-service.sh （删除）
1个定时任务：利用命令crontab -r（ 删除）
2个进程：22468和4840（kill -9杀死）
2.2 排查可疑公钥
把里面的可疑公钥清空。(ssh会把你每个你访问过计算机的公钥(public key)都记录在~/.ssh/known_hosts。当下次访问相同计算机时，OpenSSH会核对公钥。如果公钥不同，OpenSSH会发出警告)

.ssh/known_hosts

总结：清空可疑 公钥
2.3 排查host配置
把hosts文件里的可疑IP删掉

/etc/hosts

总结：清空可疑host配置
2.4 排查cron.d
查看该目录下有没有可疑文件，有的话删除

/etc/cron.d/

总结：删除可疑文件
2.5 排查opt
排查opt文件，发现可疑文件systemd-service.sh.同样方法，解码查看文件。同时发现文件ryukd.sh和ucxin.sh。目前好像不是这个引起的，先把这两个文件变为不可执行权限

cd /opt/
chmod 000 ryukid.sh  #改变文件权限为不可读不可写不可执行
chmod 000 ucxin.sh  

错误：当出现无权操作文件的时候Operation not permitted，点击参考链接，使用命令即可修改
结果：删除可疑文件，把可疑文件变为不可执行

3 解决问题

1、删除crontab 定时任务
2、清空know_hosts 可疑密钥
3、清空hosts可疑配置
4、把定时任务对应的文件删除干净（/root/.systemd-service.sh，包含其他可疑文件）
5、清空cron.d下的可疑文件
6、把/opt/下面的可疑文件删除，变为不可执行（/opt/systemd-service.sh）
7、把两个进程杀死