一次挖矿病毒gsd的清理

发现服务器很卡，连上去看发现中了挖矿病毒。
表现如下：top 中发现cpu被进程gsd跑满了，netstat发现两个不认识的进程gsd 和 kthread正在连接不认识的地方。


先看了下crontab，发现有定时任务：每个用户的crontab下都有可能有，需要找下

然后看这两个脚本的文件时间，发现文件时间是15:23。
再查找15:10分到15:40分的文件
find / -newermt ‘2024-06-07 15:10:00’ ! -newermt ‘2024-06-07 15:40:00’，发现很多可疑文件。
遂逐一清除。以下脚本为病毒可能存在的路径，可能不全再手动找下：

#!/bin/bash

## 清除病毒不可变属性
chattr -ia /etc/cron.daily/pwnrig
chattr -ia /etc/rc.d/init.d/pwnrig
chattr -ia /etc/systemd/system/pwnrige.service
chattr -ia /etc/cron.hourly/pwnrig
chattr -ia /etc/cron.d/pwnrig
chattr -ia /etc/cron.monthly/pwnrig
chattr -ia /etc/cron.weekly/pwnrig 
chattr -ia /root/.bash_profile
chattr -ia /usr/bin/crondr
chattr -ia /usr/bin/initdr
chattr -ia /usr/bin/sysdr
chattr -ia /usr/bin/bprofr
chattr -ia /usr/bin/gsd
chattr -ia /usr/lib/systemd/system/pwnrigl.service

## 停止服务
systemctl stop pwnrige.service
systemctl stop pwnrigl.service

## 移除服务
systemctl disable pwnrige.service
systemctl disable pwnrigl.service

## 删除病毒文件
rm -f /etc/cron.daily/pwnrig
rm -f /etc/rc.d/init.d/pwnrig
rm -f /etc/rc.d/rc0.d/K60pwnrig
rm -f /etc/rc.d/rc1.d/K60pwnrig
rm -f /etc/rc.d/rc2.d/S90pwnrig
rm -f /etc/rc.d/rc3.d/S90pwnrig
rm -f /etc/rc.d/rc4.d/S90pwnrig
rm -f /etc/rc.d/rc5.d/S90pwnrig
rm -f /etc/rc.d/rc6.d/K60pwnrig
rm -f /etc/systemd/system/pwnrige.service
rm -f /etc/cron.hourly/pwnrig
rm -f /etc/cron.hourly/pwnrig
rm -f /etc/cron.d/pwnrig
rm -f /etc/cron.monthly/pwnrig
rm -f /etc/cron.weekly/pwnrig
rm -f /usr/bin/crondr
rm -f /usr/bin/initdr
rm -f /usr/bin/sysdr
rm -f /usr/bin/bprofr
rm -f /usr/bin/gsd
rm -f /etc/systemd/system/multi-user.target.wants/pwnrige.service
rm -f /etc/systemd/system/multi-user.target.wants/pwnrigl.service
rm -f /usr/lib/systemd/system/pwnrigl.service
rm -f /root/.bash_profile

## 删除ssh后门key
rm -f /root/.ssh/authorized_keys
rm -f /home/youruser/.ssh/authorized_keys

## 删除病毒文件夹
rm -rf /usr/local/src/.kthread/
rm -rf /usr/local/src/.gsd/
rm -rf /root/.ssh/.gsd/
rm -rf /tmp/.X12-unix/

注意：需要确认/root/.bash_profile 和 /root/.ssh/authorized_keys 这些文件是否是正常文件，我们服务器是没有用到的，所以直接删除文件了。有用到这些文件的话需要挑出来删除有问题的行。
实际上起作用的文件是

/usr/bin/crondr
/usr/bin/initdr
/usr/bin/sysdr
/usr/bin/bprofr
/usr/bin/gsd
/usr/local/src/.kthread/
/usr/local/src/.gsd/
/root/.ssh/.gsd/
/tmp/.X12-unix/

其他的都是自启动用的。原则上只删除这些文件，病毒就跑不起来了。当然ssh的key是要清理的。
曝露在公网上的服务器，不妨了解下fail2ban这个软件。
参考文章：链接: link