linux实战清理挖矿病毒kthreaddi linux

故事背景

最新收到报警消息,一直提示服务器CPU 100%,然后登入服务器用top一看,发现并没有进程特别占用CPU,马上第一直觉就是top命令已经被篡改。需要借助其他的工具。

安装busybox

系统有故障,登录后如果发现用正常的命令找不到问题,那么极有可能该命令被篡改。
【linux实战清理挖矿病毒kthreaddi】BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。

> busybox top

文章图片

终于看到了这个 kthreaddi进程,上网一查这个东西叫 门罗币挖矿木马,伪装的实现是太好了和系统中的正常进程 kthreadd太像了。

清理门罗币挖矿木马

常规方式先试试

> kill -9 6282

过一会又起来了,说明有守护进程

检查系统中的定时任务

> crontab -l 0 * * * * /tmp/sXsdc

发现一个这,一看就不是什么好东西,直接清理 crontab, crontab -e dd :wq!一顿操作,观察了一会发现又出来 0 * * * * /tmp/xss00,可执行程序的名字还变,看来处理这个无济于事,这些文件都是二进制的,直接打开查看,也看不出啥。

去内核数据目录找找看

> ls -al ll/proc/6282

6282是刚才那个挖矿进程

文章图片

原来在 tmp下面有文章 ,但是被 deleted,不管先去看看

> /tmp/.dHyUxCd/ > ls -al

文章图片

config.json 里面都是一些配置,里面找到一个美国的IP

文章图片

清理病毒

删除/tmp/.dHyUxCd/目录
kill -9 挖矿进程pid
reboot重启

总结

本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。先把docker停掉(后面抽空Docker启用TLS进行安全配置),redis密码强度加高一点。

原文链接:https://rumenz.com/rumenbiji/...
微信公众号:入门小站

linux实战清理挖矿病毒kthreaddi

推荐阅读

夏天丝袜如何搭配裙子好看夏天丝袜如何搭配裙子，夏天丝袜如何搭配裙子图片

大数据分析有哪些方向,业务数据分析方向典型岗位有哪些

原来苹果手机给照片加密这么简单！苹果手机相册加密

依玛锅炉故障代码c30故障怎么解决依玛炉子故障代码

rpg制作大师,RPG制作大师VXACE RTP

番禺自驾游玩好去处番禺好玩的免费景点

摩托车链条长如何截

海尔空调e57如何维修,如何解决

搜狗版本逃跑吧少年怎么下载

不要和满身负能量的人交朋友

阳台墙面用什么材料好? 阳台墙面用什么材料好

柿饼制作过程

寒冬到了，不妨给家人吃这菜，简单易学，解馋下饭，不剩菜不浪费

狗狗的智力排名

动感单车的减脂的效果怎么样?

星星冰箱保鲜室结冰怎么回事？3种处理方法

鱼腥草宝宝可以吃吗鱼腥草宝宝能吃吗

Win7系统MMC无法创建管理单元怎么解决？

电瓶修复液是电瓶水吗电瓶怎么修复

早春播种什么蔬菜春天播种什么蔬菜