水一篇挖矿清除记录

最新推荐文章于 2022-12-20 09:56:35 发布
最新推荐文章于 2022-12-20 09:56:35 发布
阅读量386 收藏
点赞数 1
分类专栏： 木马病毒分析 文章标签： 服务器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_48421613/article/details/126616756
版权

没有开场白，直接步入正题

某日，客户A部门反应，B部门在爆破他们的服务器，同时B部门反应A部门在爆破B部门服务器，于是乎工程师进行现场查看排查；

下图为A部门服务器当时的资源情况截图

在这里插入图片描述

跟进该进程，查看一下它的进程列表

在这里插入图片描述

然后就被我给kill掉了这个进程，并且在tmp目录下发现了相关的文件；但是问题当然是没解决，因为此次事件的流量出口很大，甚至对网关造成了影响，流量都阻塞了，并且根据当时的反应，此次事件是具备SSH爆破行为的，下图为当时的服务器上的tmp目录，发现的恶意脚本文件

在这里插入图片描述

他们具体有哪些作用，我们稍后分析；

而后去了客户B的部门，并且听到了服务器要起飞的声音，我毫不怀疑是不是风扇装服务器外卖它会飞起来。

在这里插入图片描述

然后查看了一下计划任务，在计划任务里看到了恶意样本的一些运行情况，好家伙，22分钟跑一次，并且在根路径下看到了对应的隐藏文件

在这里插入图片描述
查看样本信息，发现是base64编码格式​

在这里插入图片描述

解码后，发现也是乱七八糟的东西，但是可以简单的看懂一些逻辑

在这里插入图片描述

可以看见，首先是看了一下用户id并且看了一下etc/passwd文件而后裁剪了一部分做了个切片处理，而后轮询DNS地址，探测出网情况，并访问多个tor地址并下载了什么东西，将下载的文件进行了chmod操作，还开启了socks5的9050端口，似乎在传输或者是接收什么东西(看样子似乎是把用户的信息包括id、ip信息、计划任务等传上去了)，而后将东西传进/tmp/.X11-unix等目录下

在这里插入图片描述

刚刚我们提到了.sshx文件，该文件内容如下

在这里插入图片描述

其实这里面的文件，ip文件是该服务器爆破的ip记录，pw文件内容是口令密码；r0-r8是一些其他服务的用户名，功能应该是不仅仅是爆破ssh，可能还会对mysql、sqlserver等服务进行爆破，ss/ssh文件装的其实就是几个用户名，图忘记截了

当然了不能忘记去查看常规的计划任务文件

在这里插入图片描述

该目录下内容如下，该脚本为57分钟运行一次

在这里插入图片描述

最后要做的，是按照该类似规则进行全盘查找

在这里插入图片描述

最后做的当然是把他们都删掉了，凡是我看到chmod 777 的基本都被我删了，​而后服务器重启数次，并运行了一个礼拜左右，发现问题没有再次出现，问题解决。

​总结其实就是，服务器出现挖矿事件的时候，不仅仅需要清除病毒本体，同时需要进行计划任务的查看，重点关注tmp目录与etc目录下的各个计划任务文件，基本可以解决问题

vlan911
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
挖矿病毒清除记录
ufsoko的博客
11-27 912
挖矿病毒清除记录出现现象查看定时任务开始解决目前还存在三个问题： 出现现象 cpu是4核的但使用htop无法查看到，之前跑的服务进程都被kill掉了，重新启动服务依然被kill掉。 查看定时任务 crontab -l 会出现如下这些curl请求一个域名里面的数据并且下载脚本只需，清除之后还是会存在。 开始解决 于是乎我先把/etc/hosts 加上了一个 127.0.0.1 aliyun.on...
libgcc-a挖矿木马清除脚本
05-19
用于清楚Xmrig木马变种libgcc_a
惊现！服务器为什么被植入了挖矿病毒
YingJH
04-28 2362
去年服务器遇到被比特币勒索的病毒，可以看下这篇： 《ElasticSearch安全问题不容忽视，被黑客勒索0.1个比特币》 现在服务器又遇到被挖矿程序植入的病毒，下面就来简单说下我遇到的安全问题。 现在的时代，区块链技术很火，也有很大的泡沫。一直有挖矿的机器时刻在跑着，所以也会有人弄些程序病毒来植入别人的机器，帮他们挖“宝藏”。 今天，看着自己的网站出现504，应该就是挂了...
记一次挖矿病毒应急处置全过程&挖矿处置基本操作
心想事成
12-20 1260
每次挖矿的情况都不太一样，只能做一个参考。具体还需自行检查
Scratch挖矿游戏作品：挖矿喵
03-14
可售出矿石，获得钱币，以购买“稿子”“护盾”等。干货满满，欢迎转载，记得注明原作者。此后仍有各热门或有趣游戏，请关注原作者，且点赞加收藏，记得推荐好友。下载即可玩，快点来下载吧！
H5挖矿小游戏，挖矿达人
最新发布
07-31
H5版的挖矿小游戏，H5版APP架构
Scratch 挖矿游戏：矿工小猫
07-05
角色数量：35，素材数量：805，积木数量：15561，音频数量：55 ...有滚轮切换物品栏、恢复初始设置、呼吸系统和死亡惩罚，屏幕变黄表示你已经缺氧了，如果不喝药或返回地面补充就会饿死！ 此后仍有作品或有趣游戏、...
ceph HEALTH_WARN no active mgr
redenval的专栏
10-14 8367
我的ceph集群从jewel 版本升级到luminous版后，ceph-s查看集群状态时候出现：HEALTH_WARN no active mgr 运行 ceph-deploy mgr create host-name来创建ceph 管理进程服务 之后运行ceph-s 查看集群状态： health: HEALTH_WARN             application not ena
ceph搭建过程中遇到的问题汇总
热门推荐
Yannick Jiang 的专栏
06-12 2万+
目录 1. [ceph_deploy][ERROR ] RuntimeError: Failed to execute command: env DEBIAN_FRONTEND=noninteractive DEBIAN_PRIORITY=critical apt-get --assume-yes -q update 2.[ceph_deploy][ERROR ] RuntimeError:...
服务器Linux挖矿清除过程
xiaojianzhao的博客
03-04 1866
发现过程 ps命令查看该进程详情(xx代表进程编号PID) ps -ef | grep xx 发现在/tmp/j, cd 到该目录下 查看当前用户计划任务，因为挖矿病毒一般会定时启动 crontab -l 如果以上均为查到病毒进程脚本的存储位置，继续执行systemctl命令查看进程详情(xx代表进程名称) systemctl status xx systemctl status xx 上shodan查一下IP地址 ip 地址：139.99.124.170 服务器上发现的连接到的是80端口，钟馗之
python编写一个挖矿小游戏
05-02
当然可以！下面是一个简单的Python挖矿小游戏的示例代码： ```python import random def mine_gold(): gold_found = random.randint(1, 10) return gold_found def play_game(): total_gold = 0 game_over = False print("欢迎来挖矿小游戏！") while not game_over: choice = input("你要继续挖矿吗？(Y/N): ") if choice.upper() == "Y": gold_found = mine_gold() total_gold += gold_found print(f"你挖到了{gold_found}块金矿！") elif choice.upper() == "N": game_over = True else: print("无效的选择，请重新输入！") print(f"游戏结束，你一共挖到了{total_gold}块金矿！") play_game() ``` 这个小游戏中，玩家可以选择是否继续挖矿，每次挖矿都会随机获得一定数量的金矿。玩家可以选择退出游戏，最终会显示挖到的金矿总数。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值