记一次阿里云服务器中挖矿病毒处理

 

1.收到阿里云发来的预警短信

【阿里云】尊敬的1*********9：云盾云安全中心检测到您的服务器：1xx.xx.xx.x5（gateway）出现了紧急安全事件：主动连接恶意下载源，建议您立即登录云安全中心控制台-安全告警处理http://a.aliyun.com/f1.gYVW7 进行处理
。云安全中心提供企业版7天免费试用，您可以开通试用查看更多信息。如果您在处理过程中遇到问题，可以咨询阿里云官方电话95187-1

2.登陆阿里云服务器，发现服务器十分的卡，t命令查看结果如下

[root@kk ~]# top

3.使用命令杀死进程，最后再杀死，还需要使用这个进程查找病毒文件

[root@kk ~]# kill - 9 20202

杀死进程，一段时间后又重新出现另外一个进程，其中PID和COMMAND不一致，CPU使用还是99.9%，判定存在守护进程或定时任务

4.使用命令

[root@kk ~]# crontab -l

查看是否有奇怪的定时任务

[root@kk ~]# crontab -l
0 * * * * ~/.system-init

注意！此任务非我 创建，再看后面的脚本.system-init 好像是系统的某个任务，实际为病毒伪装

使用下面命令删除

[root@kk ~]# crontab -r

5.使用命令

lsof -p 20202

查看进程的相关信息，执行路径等等，楼主杀死病毒成功后写的博客，没有相应的截图了，存在相关文件的都进行删除，如下

[root@kk ~]# cd ~
# 使用Tab键看/root 目录下的隐藏文件
[root@kk ~]# cd .
./                 .bash_history      .bash_profile      .cache/            .mysql_history     .pip/              .pydistutils.cfg   .tcshrc            
../                .bash_logout       .bashrc            .cshrc             .oracle_jre_usage/ .pki/              .ssh/              .system-init

 此处存在.system-init文件，问病毒文件，需要删除

[root@kk ~]# rm -rf .system-init

[root@kk tmp]# cd /tmp
# 使用Tab键
[root@kk tmp]# cd .
./          ../         .font-unix/ .ICE-unix/  .Test-unix/ .X11-unix/  .XImunix    .XIMunix    .XIM-unix/  
[root@kk tmp]# cd .X11-unix/
[root@kk .X11-unix]# ll
# 这个地方存在 0 1 2 三个文件，均要删除
total 0
[root@kk .X11-unix]# 

6.至此，整个病毒查杀已经完成

总结：

1.病毒攻击的服务器存在以下特征：

1. linux登陆弱密码
2. 安装的服务存在弱密码，如：redis,mysql等
3. 服务在公网中暴露，内部使用的应用端口应添加加IP白名单，或仅内网可使用

2.病毒感染的特点

1. 某个进程CPU高达99%
2. 出现奇怪的定时调度任务
3. /root, /tmp 目录下会出现一些隐藏且伪装成系统文件的病毒文件
4. 病毒一般都会有守护进程，可以查询linux服务器上的进程，杀死哪些看着很奇怪的进程(慎重),或者对比正常的服务器进程进行查杀