检查是否中了挖矿木马4 linux,一款新型的Linux挖矿木马来袭

原标题：一款新型的Linux挖矿木马来袭

一、事件背景

最近接到客户反馈，发现Linux机器卡顿，CPU使用量超标高达90%以上，怀疑被挖矿，深信服EDR安全团队第一时间进行了应急处理，并发现该挖矿木马为一款新型的Linux挖矿木马，并对此样本进行了深入的研究分析。

二、样本分析

1.对一系列矿池地址进行DNS查询请求，如下：

相应的矿池地址列表如下：

pool.minexmr.com,xmr-eu1.nanopool.org,xmr-eu2.nanopool.org

xmr-us-east1.nanopool.org,xmr-us-west1.nanopool.org,xmr-asia1.nanopool.org

xmr-jp1.nanopool.org,xmr-au1.nanopool.org,xmr.crypto-pool.fr

fr.minexmr.com、de.minexmr.com、ca.minexmr.com、sg.minexmr.com

pool.supportxmr.com、xmr-usa.dwarfpool.com、xmr-eu.dwarfpool.com

xmr.prohash.net、xmrpool.eu、mine.ppxxmr.com、jw-js1.ppxxmr.com

xmr.f2pool.com、xmr.pool.minergate.com、monerohash.com

pool.monero.hashvault.pro、gulf.moneroocean.stream

us-east.cryptonight-hub.miningpoolhub.com

europe.cryptonight-hub.miningpoolhub.com

asia.cryptonight-hub.miningpoolhub.com

2.通过chattr -i删除掉文件保护属性，重新感染主机系统，如下：

3.通过进程/proc/[进程ID]/exe，获取文件的路径，如下：

4.在内存中拼接字符串，如下所示：

相应的命令行如下：