XXX客户挖矿应急响应

此次为真实客户案例！

0x01 前言：

        同事反馈，有客户设备告警连接挖矿域名。

0x02 事件分析：

登录设备TOP：

CPU巨高！！查。

定位进程：

通过netstat -anop 查看可疑进程:

通过netstat -anop | grep 28564 查看对应进程: 

通过ps aux| grep 28564  查看对应进程路径：（很奇怪，查不到进程路径） 

 运行用户：root;占用CPU：776%;占用内存：3.6%;

ls /proc/28564

cwd~~进程运行目录；

exe~~执行程序的绝对路径；

cmdline~~程序运行时输入的命令行命令；

environ~~记录了进程运行时的环境变量；

fd~~目录下是进程打开或使用的文件的符号连接；

路径：/usr/local/games/.cache/stakubuntunew/system

进入/usr/local/games/.cache/ 查看文件

run（启动文件）、stak3/stakcentosold/stakubuntunew（木马病毒）、upd（保护文件）

查看挖矿文件：

        run文件内容：（运行文件）

        upd文件内容：(保护文件)

查看计划任务：(无计划任务)

结束进程：

        kill -9 28564

删除挖矿文件：

      rm -rf .cache

查看TOP：

0x03 总结：

        比较幸运，主要这个攻击者没有计划任务，也没啥子进程，比较好清理。要不然又要头大。