搜索

[13397] 2018-11-09_记一次挖矿病毒分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-11-09_记一次挖矿病毒分析 记 一 次 挖 矿 病 毒 分 析 l o s t C o o k y   F r e e B u f   2 0 1 8 - 1 1 - 0 9 前 言 前 言 上 午 接 到 同 事 通 知 ， 有 客 户 中 了 挖 矿 病 毒 ， 所 以 通 过 上 午 接 到 同 事 通 知 ， 有 客 户 中 了 挖 矿 病 毒 ， 所 以 通 过   s s h   登 陆 服 务 器 检 查 ， 简 单 记 录 后 遂 有 此 文 。 登 陆 服 务 器 检 查 ， 简 单 记 录 后 遂 有 此 文 。 阶 段 一 ： 从 发 现 脚 本 到 删 除 脚 本 阶 段 一 ： 从 发 现 脚 本 到 删 除 脚 本 1 、 使 用 命 令 查 看 系 统 运 行 情 况 ， 发 现 多 个 名 为 s u s t s e 的 进 程 占 用   c p u   资 源 过 高 。 2 、 使 用 和 命 令 查 找 此 命 令 位 置 , 发 现 未 找 到 。 3 、 使 用 命 令 查 找 文 件 是 否 存 在 , 此 时 找 到 文 件 在 / v a r / t m p / s u s t s e 下 面 , 且 同 目 录 下 面 有 另 外 两 个 文 件 发 现 这 个 文 件 时 我 就 比 较 干 脆 ， 结 束 进 程 ， 删 除 文 件 . 但 是 没 一 会 进 程 有 出 现 了 。 阶 段 二 ： 从 脚 本 再 次 出 现 到 彻 底 清 除 阶 段 二 ： 从 脚 本 再 次 出 现 到 彻 底 清 除 1 、 使 用 命 令 查 看 与 s u s t s e 相 关 的 进 程 。 此 时 我 就 懵 了 为 啥 删 除 了 文 件 ， 还 会 出 现 呢 。 突 然 想 起 来 之 前 打   C T F   是 用 的 一 种 利 用 定 时 任 务 启 动 的 后 门 。 t o p w h e r e i s   s u s t s e w h i c h   s u s t s e f i n d   /   - n a m e   s u s t s e p s   - a n x   |   g r e p   s u s t s e
2 、 使 用 命 令 查 看 是 否 有 定 时 任 务 ， 发 现 里 面 有 这 个 一 条 。 3 、 我 比 较 直 接 ， 记 录 下 来 后 直 接 删 除 ， 然 后 删 除 文 件 ， 结 束 进 程 。 等 待 一 会 看 看 进 程 是 否 会 再 次 启 动 。 一 段 时 间 后 发 现 挖 矿 脚 本 已 经 被 清 除 。 阶 段 三 ： 脚 本 分 析 阶 段 三 ： 脚 本 分 析 脚 本 下 载 地 址 ： h t t p : / / w w w . t i o n h g j k . c o m : 8 2 2 0 / m r . s h 1 、 脚 本 内 容 一 结 束 部 分 进 程 ， 删 除 一 些 文 件 。 具 体 目 的 没 有 搞 懂 ， 这 里 做 个 猜 测 会 不 会 是 之 前 版 本 的 地 址 发 生 了 变 化 ， 现 在 要 干 掉 这 些 ； 删 除 一 些 文 件 。 2 、 脚 本 内 容 二 c r o n t a b   - l
判 断 文 件 是 否 存 在 ， 如 果 存 在 就 验 证 s u s t s e 文 件 的 M D 5 值 判 断 这 文 件 是 不 是 他 的 。 如 果 不 存 在 就 给 变 量   D I R   赋 值 为 ” / v a r / t m p ” 判 断 命 令 和 是 否 存 在 。 3 、 脚 本 内 容 三 c u r l w g e t
d o w n l o a d I f N e e d 函 数 判 断 是 否 需 要 下 载 s u s t s e 文 件 ， 如 果 需 要 就 调 用   d o w n l o a d   函 数 。 4 、 脚 本 内 容 四
d o w n l o a d   函 数 判 断   s u s t s e 3 文 件 是 否 存 在 或 者 s u s t s e 3 文 件 的   M D 5 值 是 否 符 合 ， 不 符 合 或 者 文 件 不 存 在 就 调 用 d o w n l o a d 2 ； d o w n l o a d 2 函 数 , 判 断 系 统 是 不 是 6 4 位 ， 如 果 是 就 从 h t t p : / / w w w . t i o n h g j k . c o m : 8 2 2 0 / t t e 2 下 载 ， 下 载 位 置 在 / v a r / t m p / s u s t s e ； 验 证   s u s t s e   的 M D 5 值 ， 如 果   M D 5 值 符 合 ， 就 改 名 为 s u s t s e 3 。 5 、 脚 本 内 容 五
j u d g e   函 数 下 载   h t t p : / / w w w . t i o n h g j k . c o m : 8 2 2 0 / w t . c o n f   到 / v a r / t m p / w c . c o n f ； 使 用 n o h u p   启 动   s u s t s e ， 且 在 后 台 运 行 ； j u d g e 2 函 数 ， 使 用 n o h u p   启 动   s u s t s e ， 且 在 后 台 运 行 。 6 、 脚 本 内 容 六 使 用   c r o n t a b   创 建 定 时 任 务 。 查 看 查 看 s u s t s e 运 行 配 置 文 件 运 行 配 置 文 件
发 现 有 一 个   G i t H u b   地 址 ， 查 看 之 后 发 现 是 门 罗 币 的 挖 矿 程 序 。 查 询 t i o n h g j k . c o m 的 注 册 信 息 发 现 域 名 的 注 册 日 期 是 2 0 1 8 - 1 0 - 0 6 T 1 9 : 4 5 : 4 0 . 0 0 ， 但 是 没 有 找 到 更 多 信 息 。 至 此 结 束 ！ * 本 文 作 者 ： 本 文 作 者 ： l o s t C o o k y ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理