应急响应-挖矿病毒（kswapd0）

序言

腾讯云服务器，被一个英国老外植入kswapd0挖矿病毒。

应急部分

确认病毒文件

1.首先查看一下系统的进程，挖矿病毒会将CPU占用率达到200%

top

知道后可以直接kill掉

kill -9 PID

知道了名字我们可以通过名字搜索一下看有哪些文件

find / -name kswapd0

注：tmp文件夹下的文件为隐藏文件

通过搜索可以得知该病毒文件在以上两个位置，查看一下系统的网络通信

netstat -anptl

发现存在两个连接是通向2个奇怪的ip地址的,其中之一就是kswapd0,还有一个是rsync(是病毒缓存文件)和刚刚搜索的文件一样，可以确认病毒的文件。

处理病毒文件

访问病毒在root下的目录

 发现定时任务cron.d访问一下看看。

既然来了就扒拉扒拉吧，随即访问了a文件夹，在文件夹发现了一个key,查看cert_key.pem(看着都不是好鸟)

好家伙，这是个远程登录的私钥，我直接好家伙。

既然发现你小子了，直接将配置文件全部直接rm-rf送走。

然后删除完.configrc.5的文件后，去解决tmp下的缓存文件

 

这是个压缩包不能直接运行，肯定是有脚本来执行的，估计是在.configrc5里面，没有深入扒拉，不过问题不大，早早的把病毒文件直接打包准备研究了。

这里也是直接rm-rf送上飞机票

最后将运行的文件给kill掉，这里没有在一开始就kill掉方便通过进程去找病毒文件，看个人习惯吧。

kill -9 2662 (跟的病毒进程的PID)

验证下定时任务是否清理掉了：

  cat /etc/passwd | cut -f 1 -d : |xargs -I {} crontab -l -u {}

可以看出定时任务已经被清除掉了。

查看一下ssh的密钥有没有异常文件，

cd /root/.ssh