排查挖矿病毒

排查挖矿病毒场景最新发现linux服务器一直很卡,导致无法编译和其它相关操作。排查分析经top查看原来是一个叫269的进程一直抢占CPU,占比高达4000%。而该269进程则是挖矿病毒进行高度伪装,即使是kill掉该进程也无济于事,后面又会自动跑起来。top-19:29:19up1:24,2users,loadaverage:41.71,41.75,41.46Tasks:891total,3running,502sleeping,0st..

大家好,又见面了,我是你们的朋友全栈君。

场景

最新发现linux服务器一直很卡,导致无法编译和其它相关操作。

排查分析

经top 查看原来是一个叫269 的进程一直抢占CPU,占比高达4000%。而该269 进程则是挖矿病毒进行高度伪装,即使是kill 掉该进程也无济于事,后面又会自动跑起来。

top - 19:29:19 up  1:24,  2 users,  load average: 41.71, 41.75, 41.46
Tasks: 891 total,   3 running, 502 sleeping,   0 stopped,   0 zombie
%Cpu(s): 48.7 us,  0.2 sy,  0.0 ni, 50.6 id,  0.4 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem : 26380483+total, 24399928+free, 11714944 used,  8090604 buff/cache
KiB Swap:   588796 total,   588796 free,        0 used. 25003548+avail Mem 

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND                                                                                                                                                              
48124 root      20   0 7745272  10036      4 S  4089  0.0   1986:45 269                                                                                                                                                                  
17692 root      20   0 1445272 1.218g  33360 R 100.0  0.5  47:55.27 clamscan                                                                                                                                                             
15890 root      20   0  715656  58536      4 S  84.2  0.0   0:08.81 php-fpm                                                                                                                                                              
47926 root      20   0 1000496 214512      4 S  68.4  0.1  14:49.33 apache2                                                                                                                                                              
17176 root      20   0   39016  11136   5492 R  31.6  0.0   0:00.06 lsb_release                                                                                                                                                          
17168 root      20   0   43720   4620   3184 R  26.3  0.0   0:00.08 top                                                                                                                                                                  
16735 root      20   0  715912  52600      4 S  15.8  0.0   0:03.77 php-fpm                                                                                                                                                              
    1 root      20   0   78000   9100   6596 S   0.0  0.0   0:09.57 systemd                                                                                                                                                              
    2 root      20   0       0      0      0 S   0.0  0.0   0:00.05 kthreadd                                                                                                                                                             
    4 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/0:0H                                                                                                                                                         
    6 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/u160:0                                                                                                                                                       
    7 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 mm_percpu_wq                                                                                                                                                         
    8 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/0                                                                                                                                                          
    9 root      20   0       0      0      0 I   0.0  0.0   0:11.03 rcu_sched                                                                                                                                                            
   10 root      20   0       0      0      0 I   0.0  0.0   0:00.00 rcu_bh                                                                                                                                                               
   11 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/0                                                                                                                                                          
   12 root      rt   0       0      0      0 S   0.0  0.0   0:00.03 watchdog/0                                                                                                                                                           
   13 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/0                                                                                                                                                              
   14 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/1                                                                                                                                                              
   15 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/1                                                                                                                                                           
   16 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/1                                                                                                                                                          
   17 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/1                                                                                                                                                          
   18 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/1:0                                                                                                                                                          
   19 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/1:0H                                                                                                                                                         
   20 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/2                                                                                                                                                              
   21 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/2                                                                                                                                                           
   22 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/2                                                                                                                                                          
   23 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/2                                                                                                                                                          
   24 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/2:0                                                                                                                                                          
   25 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/2:0H                                                                                                                                                         
   26 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/3                                                                                                                                                              
   27 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/3                                                                                                                                                           
   28 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/3                                                                                                                                                          
   29 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/3                                                                                                                                                          
   30 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/3:0                                                                                                                                                          
   31 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/3:0H                                                                                                                                                         
   32 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/4                                                                                                                                                              
   33 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/4                                                                                                                                                           
   34 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/4                                                                                                                                                          
   35 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/4                                                                                                                                                          
   36 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/4:0                                                                                                                                                          
   37 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/4:0H                                                                                                                                                         
   38 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/5                                                                                                                                                              
   39 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/5                                                                                                                                                           
   40 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/5                                                                                                                                                          
   41 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/5                                                                                                                                                          
   43 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/5:0H                                                                                                                                                         
   44 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/6                                                                                                                                                              
   45 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/6                                                                                                                                                           
   46 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/6                                                                                                                                                          
   47 root      20   0       0      0      0 S   0.0  0.0   0:00.02 ksoftirqd/6                                                                                                                                                          
   49 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/6:0H                                                                                                                                                         
   50 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/7                                                                                                                                                              
   51 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/7                                                                                                                                                           
   52 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/7                                                                                                                                                          
   53 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/7                                                                                                                                                          
   55 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/7:0H                                                                                                                                                         
   56 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/8                                                                                                                                                              
   57 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/8                                                                                                                                                           
   58 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/8     

常规做法

针对该挖矿病毒,一般常规做法是

1、查找出具体哪个进程导致占比CPU;比如269;

2、kill 掉该挖矿进程;sudo kill -9 48124;

3、通过关键词查找挖矿病毒,一般在/tmp 目录底下,如果不清楚查找,直接删除/tmp 目录底下的所有文件;

4、要排查和删掉相关的定时脚本;

4、观察服务器一段时间,查看病毒是否还存在。

解决方案

掐断外网

最终通过掐断该服务器的外网(防火墙禁用外网22号端口),再次通过top 查看CPU占比情况,已经下降到2.6%。说明挖矿病毒是通过早期开放的外网22号端口进行入侵,然后别人用爆破的方式通过22端口植入病毒,root等账号密码被破解。

top - 09:18:05 up 1 day, 15:13,  3 users,  load average: 0.35, 0.30, 0.42
Tasks: 795 total,   1 running, 422 sleeping,   0 stopped,   0 zombie
%Cpu(s):  0.0 us,  0.0 sy,  0.0 ni, 99.9 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem : 26380483+total,  2025612 free,  9094328 used, 25268488+buff/cache
KiB Swap:   588796 total,   188776 free,   400020 used. 25285894+avail Mem 

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND                                                                                                                                                              
47926 root      20   0 1006064  80300      4 S   2.6  0.0 998:06.22 apache2                                                                                                                                                              
 2827 gerrit    20   0 59.806g 2.775g  21788 S   2.0  1.1  77:05.79 java                                                                                                                                                                 
43603 root      20   0   43588   4744   3344 R   0.7  0.0   0:00.07 top                                                                                                                                                                  
    9 root      20   0       0      0      0 I   0.3  0.0   6:33.44 rcu_sched                                                                                                                                                            
 1987 root      20   0  110924   3616   2796 S   0.3  0.0   3:11.49 irqbalance                                                                                                                                                           
34134 root      20   0  731868  43108   8396 S   0.3  0.0   7:59.93 edr_agent                                                                                                                                                            
34135 root       9 -11   18496   3172   2916 S   0.3  0.0   3:29.78 cpulimit                                                                                                                                                             
    1 root      20   0   78000   7988   5476 S   0.0  0.0   0:21.61 systemd                                                                                                                                                              
    2 root      20   0       0      0      0 S   0.0  0.0   0:00.09 kthreadd                                                                                                                                                             
    4 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/0:0H                                                                                                                                                         
    6 root      20   0       0      0      0 I   0.0  0.0   0:00.02 kworker/u160:0                                                                                                                                                       
    7 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 mm_percpu_wq                                                                                                                                                         
    8 root      20   0       0      0      0 S   0.0  0.0   0:08.85 ksoftirqd/0                                                                                                                                                          
   10 root      20   0       0      0      0 I   0.0  0.0   0:00.00 rcu_bh                                                                                                                                                               
   11 root      rt   0       0      0      0 S   0.0  0.0   0:00.25 migration/0                                                                                                                                                          
   12 root      rt   0       0      0      0 S   0.0  0.0   0:00.35 watchdog/0                                                                                                                                                           
   13 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/0                                                                                                                                                              
   14 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/1                                                                                                                                                              
   15 root      rt   0       0      0      0 S   0.0  0.0   0:00.30 watchdog/1                                                                                                                                                           
   16 root      rt   0       0      0      0 S   0.0  0.0   0:00.17 migration/1                                                                                                                                                          
   17 root      20   0       0      0      0 S   0.0  0.0   0:02.73 ksoftirqd/1                                                                                                                                                          
   18 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/1:0                                                                                                                                                          
   19 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/1:0H                                                                                                                                                         
   20 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/2                                                                                                                                                              
   21 root      rt   0       0      0      0 S   0.0  0.0   0:00.30 watchdog/2                                                                                                                                                           
   22 root      rt   0       0      0      0 S   0.0  0.0   0:00.14 migration/2                                                                                                                                                          
   23 root      20   0       0      0      0 S   0.0  0.0   0:01.90 ksoftirqd/2                                                                                                                                                          
   25 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/2:0H                                                                                                                                                         
   26 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/3                                                                                                                                                              
   27 root      rt   0       0      0      0 S   0.0  0.0   0:00.30 watchdog/3                                                                                                                                                           
   28 root      rt   0       0      0      0 S   0.0  0.0   0:00.15 migration/3                                                                                                                                                          
   29 root      20   0       0      0      0 S   0.0  0.0   0:06.95 ksoftirqd/3                                                                                                                                                          
   30 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/3:0                                                                                                                                                          
   31 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/3:0H                                                                                                                                                         
   32 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/4                                                                                                                                                              
   33 root      rt   0       0      0      0 S   0.0  0.0   0:00.31 watchdog/4                                                                                                                                                           
   34 root      rt   0       0      0      0 S   0.0  0.0   0:00.13 migration/4                                                                                                                                                          
   35 root      20   0       0      0      0 S   0.0  0.0   0:02.08 ksoftirqd/4                                                                                                                                                          
   36 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/4:0                                                                                                                                                          
   37 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/4:0H                                                                                                                                                         
   38 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/5                                                                                                                                                              
   39 root      rt   0       0      0      0 S   0.0  0.0   0:00.30 watchdog/5                                                                                                                                                           
   40 root      rt   0       0      0      0 S   0.0  0.0   0:00.13 migration/5                                                                                                                                                          
   41 root      20   0       0      0      0 S   0.0  0.0   0:01.64 ksoftirqd/5                                                                                                                                                          
   43 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/5:0H                                                                                                                                                         
   44 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/6                                                                                                                                                              
   45 root      rt   0       0      0      0 S   0.0  0.0   0:00.30 watchdog/6                                                                                                                                                           
   46 root      rt   0       0      0      0 S   0.0  0.0   0:00.15 migration/6                                                                                                                                                          
   47 root      20   0       0      0      0 S   0.0  0.0   0:08.76 ksoftirqd/6                                                                                                                                                          
   49 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/6:0H                                                                                                                                                         
   50 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/7                                                                                                                                                              
   51 root      rt   0       0      0      0 S   0.0  0.0   0:00.30 watchdog/7                                                                                                                                                           
   52 root      rt   0       0      0      0 S   0.0  0.0   0:00.13 migration/7                                                                                                                                                          
   53 root      20   0       0      0      0 S   0.0  0.0   0:02.06 ksoftirqd/7                                                                                                                                                          
   55 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/7:0H                                                                                                                                                         
   56 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/8                                                                                                                                                              
   57 root      rt   0       0      0      0 S   0.0  0.0   0:00.30 watchdog/8                                                                                                                                                           
   58 root      rt   0       0      0      0 S   0.0  0.0   0:00.13 migration/8                                                                                                                                                          
   59 root      20   0       0      0      0 S   0.0  0.0   0:02.29 ksoftirqd/8                                                                                                                                                          
   61 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/8:0H  

查看攻击源

通过上网行为观察得知该服务器确实是被一个叫荷兰的IP:58.19.42.208 进行口令爆破攻击。

排查挖矿病毒

 

安装深信服软件

1、点击下载安装文件,或执行下载命令wget –no-check-certificate https://11.10.105.30:443/download_installer_linux.php -O linux_edr_installer.tar.gz进行下载
2、将安装包拷贝至终端
3、在终端解压安装包 tar -xzvf linux_edr_installer.tar.gz
4、执行命令 ./agent_installer.sh
5、执行完成,终端的agent程序将自动连接EDR管理中心

通过云查杀病毒

排查挖矿病毒

口令检测

排查挖矿病毒

 SSH策略检测

排查挖矿病毒

身份鉴别策略组检测

排查挖矿病毒

 对一些已感染的文件进行隔离病毒

排查挖矿病毒

 

 安全防护

1、修改管理员和root 账号的密码,复杂度要高些;

2、安装和设置防火墙;

3、关闭不必要的服务和端口;

4、设置账号和密码的保护。

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/131403.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

  • Java static关键字与static{}语句块

    Java static关键字与static{}语句块目录直通车一、类的加载特性与时机1、 类加载的特性2、类加载的时机二、static的三个常用1、修饰成员变量2、修饰成员方法3、 静态块(static{})一、类的加载特性与时机在进入static之前,先补一下关于类的脑。1、 类加载的特性在JVM的生命周期里,每个类只会被加载一次。类加载的原则:延迟加载,能少加载就少加载,因为虚拟机的空…

  • Unity3D Invoke 方法的调用

    Unity3D Invoke 方法的调用Invoke()方法是Unity3D的一种委托机制如:Invoke(“SendMsg”,5); 它的意思是:5秒之后调用SendMsg()方法;使用Invoke()方法需要注意3点:1:它应该在脚本的生命周期里的(Start、Update、OnGUI、FixedUpdate、LateUpdate)中被调用;2:Invoke();不能接受含有参数的方

  • 【实用】网页内容监控并实时推送百度解决方案「建议收藏」

    【实用】网页内容监控并实时推送百度解决方案「建议收藏」将网站最新内容实时推送百度是有利于内容原创保护和收录的,避免小站内容刚上线就被大站搞去,做了他人的嫁衣。但是网站天天手动去提交百度的话也是很浪费时间的,那么有没有什么方法可以自动将新内容推送百度呢?答案肯定是有的,实现网页内容监控就行了,然后将最新产出内容推送给百度。WEB视界网页内容监控原理将一批网站列表加入一个定时任务中,将所有属于本网站的URL提取出来并存储起来。然后定时任务每次…

  • acwing-372. 棋盘覆盖(二分图)

    acwing-372. 棋盘覆盖(二分图)给定一个 N 行 N 列的棋盘,已知某些格子禁止放置。求最多能往棋盘上放多少块的长度为 2、宽度为 1 的骨牌,骨牌的边界与格线重合(骨牌占用两个格子),并且任意两张骨牌都不重叠。输入格式第一行包含两个整数 N 和 t,其中 t 为禁止放置的格子的数量。接下来 t 行每行包含两个整数 x 和 y,表示位于第 x 行第 y 列的格子禁止放置,行列数从 1 开始。输出格式输出一个整数,表示结果。数据范围1≤N≤100,0≤t≤100输出样例:8 0输出样例:32#include&l

  • php开发环境的配置过程_mac配置java环境

    php开发环境的配置过程_mac配置java环境VsCode系列:VSCode配置Python开发环境!今天博主跟大家聊一聊如何使用VsCode系列:VSCode配置Python开发环境!不喜勿喷,如有建议欢迎补充、讨论!关于安装和汉化可以观看博主的这篇文章《下载安装及汉化》以及Python系列:windows10配置Python3.0开发环境!,安装完毕重启VsCode!Comeon!首先请大家确定VsCode的安装以及Pyt…

    2022年10月26日
  • fcn全卷积神经网络搭建_区域卷积神经网络

    fcn全卷积神经网络搭建_区域卷积神经网络文章目录简介核心思想网络结构上采样Upsampling跳级结构CNN与FCN的区别与联系网络训练过程存在问题【参考】简介全卷积网络(FullyConvolutionalNetworks,FCN)是JonathanLong等人于2015年在FullyConvolutionalNetworksforSemanticSegmentation一文中提出的用于图像语义分割的一种框架,是深度学习用于语义分割领域的开山之作。FCN将传统CNN后面的全连接层换成了卷积层,这样网络的输出将是热力图而非类

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号