记录一次处理centos7服务器被植入Xmrig挖矿病毒问题

最新推荐文章于 2024-04-23 14:16:14 发布
最新推荐文章于 2024-04-23 14:16:14 发布
阅读量1k 收藏
点赞数
分类专栏： Linux运维 文章标签： linux 运维 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq810908892/article/details/130760386
版权
  1. 现象CPU占用100%，内存占用不大，top命令没有占用CPU很大的进程，有个名称为xmrig，但占用CPU很小
  2. 安装unhide软件，并使用unhide proc命令，查找出隐藏进程，查出很多进程
  3. kill 任意一个进程，CPU马上降至个位数，但重启服务器之后，又到100%，猜测被注册为系统服务了
  4. 第二步查出很多进程，但是他们的command、执行路径等都一样，一般第一个为主进程
  5. systemctl status 主进程ID，查出是哪个系统服务，kill -9 主进程ID，删除服务

 

qq810908892
关注
专栏目录
centos7系统服务器 ---- kworkerds挖矿病毒排查过程
跪下叫我怕怕的博客
03-04 7848
kworkerds挖矿病毒排查过程 2019年3月2日晚上，收到报警邮件，出现多台服务器cpu使用率超过百分之九十五现象。登录服务器查看，发现存在cpu使用率超高的进程kworkerds 的存在，不用多说，这个名字只要是接触过挖矿病毒的运维人员都知道，那么下面开始排查及清理。 中了此病毒的服务器有两种（目前发现）情况： 第一种，使用top命令可以直接查看到是哪个进程在消耗CPU资源； 第二种，使用...
记一次centos中挖矿病毒处理经过
a345203172的专栏
10-08 1654
环境：centos7.6 挖矿进程：rabiit 1、先关闭无用对外端口 （例如redis端口，mysql端口等），限制可以ssh登录的ip地址，可以用last查看近期远程登录的用户，确认是否存在可疑IP或者用户 2、查看定时任务情况（这个可以查看/var/log/cron文件，是否存在可疑定时任务执行日志），查看可以定时任务的启动位置，删除可疑定时任务 crontab -e /var/spool/cron/ /etc/crontab /etc/cr...
CentOS 7 挖矿病毒.rsyslogds与xmrig处理
G
06-16 2132
CentOS 7 挖矿病毒.rsyslogds与xmrig处理
centos 处理挖矿病毒
weixin_44606690的博客
01-04 531
处理挖矿病毒，真的恶心啊占用CPU百分之50
挖矿病毒分析（centos7）
ntgengyf的博客
07-25 879
本次服务器被入侵，被人植入了密钥文件，导致入侵者可以免密登录服务器，在redis中看到了一个很奇怪的key，它的value的意思是一个定时任务通过curl下载某个sh脚本，并执行，看到网上的一位博主，总结的很好，它总结的原因如下。比较有名的挖矿蠕虫病毒，攻击手段为通过redis感染服务器，如果redis的端口为默认的6379且暴露在公网上，且没有设置客户端连接密码认证，很容易感染，这个病毒是分级别的，好在我遇到的是比较简单的，解决方法如下。.相关的代码，查看进程发现果然多了一个redis-cli的进程。
centos7系统被入侵，挂载挖矿木马-pamdicks-(1)临时处理
ntgengyf的博客
07-25 605
根据隐藏进程以及隐藏文件不可见的特性，进行搜索分析，得出系统内核被篡改，将文件名称和进程信息给屏蔽。以后得加强注意这三方面的安全问题，本次木马程序并未涉及文件防篡改配置，不然也只能重装系统进行处理了。开发使用过程中，发现经常有服务无故关闭，登录服务器经检查，发现CPU使用率达到100%。删除原文件，并创建一个顶包空文件，然后使用系统chattr对其进行锁定禁止修改。及文件删除，但是重启后又自行恢复，还有其他机器，也经过一夜，死灰复燃了。用户直接启动，导致内核被修改，问题难度复杂化。
Linux（centos7）常见安全、挖矿问题
最新发布
weixin_41421314的博客
04-23 1183
centos安全配置、解决挖矿问题
Linux Contos7被植入挖矿病毒 Neflix
qq_44988088的博客
03-21 347
Linux Contos7被植入挖矿病毒 Neflix kaki的博客 问题的发生： 今天打开我的7牛云主机发现只cpu被占用100%，内存也接近80% 于是我问了7牛的客服，据7牛的工程师说是有可能被植入了挖矿病毒之类的东西。尽管我再三挽救：kill - 9 pid ,还有去清空定时器等。虽然当时可以，但过一会又自启了 最后： 于是我选择了重新装系统。。。。 总结：1.防火墙要看住 &nb...
centos6.8服务器中了挖矿程序病毒的解决方法
emtit2008的专栏
09-04 931
阿里云提示我的centos服务器出现紧急安全事件：挖矿程序；同时也出现服务器异常登录事件。 出现这样的情况，需要根据以下的步骤去处理 第一步：修改登录的帐号密码，输入命令passwd，根据提未修改。 第二步：禁用可疑的IP，阿里云会有一些IP提示，先把异常登录的IP禁用；命令如下 iptables -I INPUT -s 68.183.140.39 -j DROP //禁用指定的IP ...
记录一次centos被挖矿病毒感染的经历
热门推荐
fengwuxichen的博客
04-26 1万+
公司测试环境一台虚拟机被挖矿病毒感染，CPU持续飚高。感染原因应该是redis没有设置密码导致的。记录一下临时处理记录。 安装busybox 由于系统中的链接库、依赖可能已经被病毒篡改，如果需要仔细排查的话要先安装busybox，不然直接使用ps或者top是可能看不到病毒的，我这边是直接拉起一个busybox的docker容器，把busybox从容器中复制出来，放到中毒机器的/usr/bin下面。...
记一次centos7因redis默认端口被恶意植入病毒解决
SQLINGBING的博客
08-26 1330
centos7因为redis使用默认接口被攻击中了[scan]病毒后的解决
阿里云服务器centos7挖矿病毒处理
08-05 3190
【阿里云】尊敬的1*********6：云盾云安全中心检测到您的服务器：1xx.xx.xx.x5（gateway）出现了紧急安全事件：主动连接恶意下载源，建议您立即登录云安全中心控制台-安全告警处理http://a.aliyun.com/f1.gYVW7 进行处理 。云安全中心提供企业版7天免费试用，您可以开通试用查看更多信息。如果您在处理过程中遇到问题，可以咨询阿里云官方电话95187-1 处理过程： 1、查找异常进程，确定病毒进程，定位病毒脚本的执行用户 2、杀掉病毒进程，注意要检查清楚，病...
CentOS处理挖矿病毒 - kthreaddi
YHJ
06-13 1710
没成功，只是记录下思路。 我的是直接重装系统镜像。。。 最近阿里云服务器一直提醒我服务器收到了病毒攻击，cpu的占有率甚至达到了100% 阿里云也给我狂发消息： 因攻击我不可能写程序攻击别人的服务器啊，一定是中病毒了！！！ 1.查找病毒进程： ps -aux | sort -k3nr | head -5 或者 top 发现病毒： 原来是一个挖矿病毒，最近由于比特币的疯涨，可能带动了其他挖矿病毒的产生，这个病毒不仅能疯狂占据cpu资源而且还能通过服务器的端口攻击其他服务器，十分恶毒！
CentOS处理挖矿病毒 - kthreaddk
HoZanDung的博客
03-22 1195
CentOS处理挖矿病毒 - kthreaddk
linux centos7 解决挖矿病毒kthreaddk 高CPU占用
m0_66127371的博客
09-30 1798
病毒修复
记一次centos云主机遇到挖矿病毒
weixin_47461688的博客
08-15 48
随后也没想太多，直接kill掉进程，结果进程还真被杀掉了。重新登陆机器，看了一下进程发现刚刚杀掉的进程又出现了。把定时任务删掉，也重新把进程给删掉了，本来以为这波稳了，但是！过了一会挖矿进程又有了，定时任务也被还原了！果然看到了一个奇怪的定时任务，随后正想把这个定时任务删掉，md发现root用户下居然也改不了。冷静下来以后，看了刚刚定时任务里的那个脚本，发现原来是用chattr命令把文件锁住了。今天出奇的收到云上的负载告警，然后登陆服务器一看，发现有一个莫名的进程在执行。重新再将进程杀掉，木马文件删除。
Centos 7.4 服务器 被植入挖矿木马
weixin_30595035的博客
10-16 522
背景 最近由于在弄springboot shiro的redis session共享的问题，所以在服务器上部署了redis，因为没有太多的考虑所以没有设置密码。 等到第二天的时候，发现redis外网无法访问内网可以。 查看端口绑定情况netstat-antlp|grep6379 发现绑定没有问题 查看本地的路由，发现绑定到了127.0.0.1 发现绑定问题之后，就增加一...
Centos qW3xT.2 挖矿病毒
BraveHeart
09-12 599
亲测，管用！ https://blog.csdn.net/yitian_66/article/details/81304681
centos7挖矿病毒(xmrig,javs)清理
yuanwendong11的博客
07-26 3806
1. 查看计划任务 ls /var/spool/cron 删除异常任务其配置项。如果当前系统之前并未配置过计划任务，可以直接删除计划脚本目录即可： rm -rf /var/spool/cron/* 2. 查看密钥认证文件 删除木马创建的密钥认证文件，如果当前系统之前并未配置过密钥认证，可以直接清空认证存放目录： rm -rf /root/.ssh/* 如果有配置过密钥认证，需要删除指定的黑客创建的认证文件即可。 3. 修复 SSH 配置项 一般默认脚本中进行修改的 PermitRootLogin、R.
CentOS 7上一步骤教程：HAproxy服务器安装与配置
在本教程中，我们将学习如何在CentOS 7操作系统上搭建HAProxy服务器，一个高可用负载均衡器。HAProxy是一款开源软件，能够有效地管理网络流量，确保服务的稳定性和性能。 **实验环境** 首先，我们需要确认CentOS 7...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值