Linux应急响应之挖矿篇

Linux应急响应之挖矿篇
Linux服务器经常受到挖矿木马的骚扰，严重影响服务器的正常使用。那么安全人员遇到这类问题该如何解决呢？

首先了解一下什么是挖矿
每隔一个时间点，比特币系统会在系统节点上生成一个随机代码，互联网中的所有计算机都可以去寻找此代码，谁找到此代码，就会产生一个区块。而比特币的发行是基于奖励的，每促成一个区块的生成，该节点便获得相应奖励，这样大家就有动力投入资金去维护整个交易网络的正常运行。这个寻找代码获得奖励的过程就是挖矿。但是要计算出符合条件的值需要进行上万亿次的哈希运算，这个过程需要大量的算力，于是部分黑客就会通过入侵服务器的方式来控制别人的计算机帮助自己挖矿。
我的理解
比特币系统出了一道计算题，这是一个复杂的随机的方程式，谁能求得解便可以得到比特币。而求解的过程是十分耗费CPU的，所以黑客便利用别人的计算机进行求解，而出现了挖矿木马。

挖矿木马

攻击者首先通过漏洞获得主机控制权后，将挖矿木马放在远程主机上，通过wget或curl直接下载远程挖矿进程部署脚本，执行脚本进行挖矿进程的部署、隐藏、持久化和痕迹清除等工作。挖矿木马一般具有横向传播作用，所以随着一台主机的沦陷，就是一个内网的沦陷。

被挖矿后有哪些特征？
1.CPU飙升
2.无故重启
3.卡顿

挖矿木马功能总结

1. 下载远程挖矿木马

2. 清除本机中可能存在的其他挖矿进程

3. 生成特征文件避免重复感染

4. 收集