linux实战清理挖矿病毒kthreaddi
入门小站 -故事背景最新收到报警消息,一直提示服务器CPU 100%,然后登入服务器用top一看,发现并没有进程特别占用CPU,马上第一直觉就是top命令已经被篡改。需要借助其他的工具。安装busybox
系统有故障,登录后如果发现用正常的命令找不到问题,那么极有可能该命令被篡改。
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。
> busybox top
终于看到了这个kthreaddi
进程,上网一查这个东西叫门罗币挖矿木马
,伪装的实现是太好了和系统中的正常进程kthreadd
太像了。清理门罗币挖矿木马常规方式先试试> kill -9 6282
过一会又起来了,说明有守护进程检查系统中的定时任务> crontab -l
0 * * * * /tmp/sXsdc
发现一个这,一看就不是什么好东西,直接清理crontab
,crontab -e
dd
:wq!
一顿操作,观察了一会发现又出来0 * * * * /tmp/xss00
,可执行程序的名字还变,看来处理这个无济于事,这些文件都是二进制的,直接打开查看,也看不出啥。去内核数据目录找找看> ls -al ll /proc/6282
6282
是刚才那个挖矿进程原来在 tmp下面有文章 ,但是被 deleted,不管先去看看> /tmp/.dHyUxCd/
> ls -al
config.json 里面都是一些配置,里面找到一个美国的IP清理病毒删除/tmp/.dHyUxCd/
目录kill -9 挖矿进程pidreboot重启总结本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。先把docker停掉(后面抽空Docker启用TLS进行安全配置),redis密码强度加高一点。原文链接:https://rumenz.com/rumenbiji/...
微信公众号:入门小站
特别申明:本文内容来源网络,版权归原作者所有,如有侵权请立即与我们联系(cy198701067573@163.com),我们将及时处理。