清除linux挖矿木马[crypto]的过程

朋友反馈,阿里云管控台报警,cpu占用100%,瞬间想到挖矿木马(因为本驴之前中过招,排查过程点开本驴主页微头条寻找)。
排查过程如下:
1、top命令查看进程占用情况,没有发现可疑进程,而且cpu的total used也是正常的,但阿里云管控台上显示的cpu占用率是100%,显然,木马进程被恶意隐藏了,常规的ps命令肯定找不到。
2、想到挖矿木马都有一个特点,都会连接到外网,于是执行netstat -anptl命令,发现名为[crypto]的进程可疑,查一下它访问的ip地址,发现是新加坡的,基本就是他了。
在这里插入图片描述
在这里插入图片描述

3、该进程pid为467,lsof -p 467找到它的执行文件,在/usr/share下,进去之后可以看到[crypto],[crypto].sh等文件,这些很显然就是木马的执行文件、启动脚本、日志等等。
在这里插入图片描述

4、直接rm -rf发现可以删掉,居然没有赋权限。
5、kill掉木马进程,发现cpu恢复正常。
6、一般这种木马必定留有后门,查看authorized_keys文件发现不对劲,黑客留下了自己的ssh秘钥,可以直接登进服务器,必须删掉。
7、直接rm -rf提示没权限,于是chmod 777 authorized_keys赋权限,继续删,依旧提示没权限。
8、应该是被人用chattr命令加了不可修改的属性,执行lsattr发现确实是这样,被加了ia属性,不可修改,不可删除。
9、chattr -ia authorized_keys去除这个属性,居然依旧报错,这可就怪异了,这不可能啊。
在这里插入图片描述

10、思考之后,认为应该是有人篡改了chattr命令,cd /usr/bin 发现chattr文件是白色的,不是一个可执行文件。。。果然如此。
在这里插入图片描述

11、chmod -x chattr让他变成可执行文件,不出意外,提示没有权限。。。执行lsattr命令后,发现其被赋予了i属性,不可修改。这就操蛋了,我根本就不知道黑客把chattr命令替换成了什么,这么多的文件,不好排查。
12、一度想放弃,后来急中生智,从本驴自己的服务器上拷贝一份chattr文件到朋友的服务器中,重命名为chattr1,执行命令chattr1 -i chattr,居然可以!
13、恢复chattr文件后,解除authorized_keys文件的ia属性,然后成功删除该文件。
14、排查了定时任务,没有发现守护进程,至此,挖矿木马清除完成!

已标记关键词 清除标记
相关推荐
©️2020 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页