此次为真实客户案例!
0x01 前言:
同事反馈,有客户设备告警连接挖矿域名。
0x02 事件分析:
登录设备TOP:
CPU巨高!!查。
定位进程:
通过netstat -anop 查看可疑进程:
通过netstat -anop | grep 28564 查看对应进程:
通过ps aux| grep 28564 查看对应进程路径:(很奇怪,查不到进程路径)
运行用户:root;占用CPU:776%;占用内存:3.6%;
ls /proc/28564
cwd~~进程运行目录;
exe~~执行程序的绝对路径;
cmdline~~程序运行时输入的命令行命令;
environ~~记录了进程运行时的环境变量;
fd~~目录下是进程打开或使用的文件的符号连接;
路径:/usr/local/games/.cache/stakubuntunew/system
进入/usr/local/games/.cache/ 查看文件
run(启动文件)、stak3/stakcentosold/stakubuntunew(木马病毒)、upd(保护文件)
查看挖矿文件:
run文件内容:(运行文件)
upd文件内容:(保护文件)
查看计划任务:(无计划任务)
结束进程:
kill -9 28564
删除挖矿文件:
rm -rf .cache
查看TOP:
0x03 总结:
比较幸运,主要这个攻击者没有计划任务,也没啥子进程,比较好清理。要不然又要头大。