首页 > 系统相关 >centos被挖矿病毒感染的经历

centos被挖矿病毒感染的经历

时间：2023-08-16 14:22:25浏览次数：51  
标签：centos -- 0.0 病毒感染 31188 usr 0t0 root 挖矿

公司测试环境一台虚拟机被挖矿病毒感染，CPU持续飚高。记录一下临时处理记录。

安装busybox
由于系统中的链接库、依赖可能已经被病毒篡改，如果需要仔细排查的话要先安装busybox，不然直接使用ps或者top是可能看不到病毒的，我这边是直接拉起一个busybox的docker容器，把busybox从容器中复制出来，放到中毒机器的/usr/bin下面。具体步骤不再赘述。

中毒表现
ps: 这台机器已经是第三次中毒了，第一次是khugepageds，第二次是在/tmp目录下有临时文件一直生成并执行，这次是有一个* **进程在狂占CPU。手动杀掉之后过几秒就会自动拉起。

[root@test-03 proc]# busybox top
Mem: 6404212K used, 1607008K free, 403076K shrd, 32K buff, 801420K cached
CPU:  100.0% usr  0.0% sys  0.0% nic  100% idle  0.0% io  0.0% irq  0.0% sirq
Load average: 0.07 0.33 0.22 2/437 30215
  PID  PPID USER     STAT   VSZ %VSZ CPU %CPU COMMAND
31431     1 root     S    76236  0.9   0  99.0 * **
14179     1 root     S    6211m 79.1   0  0.0 /opt/atlassian/confluence/jre//bin/java -Djava.util.logging.config.file=/opt/atlassian/confluence/conf/logging.properties -Djava.util.logging.man
 9817  9621 mysql    S    2419m 30.8   2  0.0 /usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/mysql --plugin-dir=/usr/lib64/mysql/plugin --log-error=/var/log/mysqld.log --pid-file=/var/run
 9549     1 root     S     664m  8.4   1  0.0 /usr/sbin/rsyslogd -n
 9581     1 polkitd  S     517m  6.5   1  0.0 /usr/lib/polkit-1/polkitd --no-debug
 9548     1 root     S     513m  6.5   1  0.0 /usr/sbin/NetworkManager --no-daemon
 9557     1 root     S     495m  6.3   1  0.0 /usr/sbin/libvirtd
14076     1 root     S     403m  5.1   0  0.0 /usr/libexec/packagekitd
 9547     1 root     S     328m  4.1   0  0.0 /usr/sbin/ModemManager
14084  9848 root     S     142m  1.8   2  0.0 sshd: root@pts/0
29658  9848 root     S     142m  1.8   2  0.0 sshd: root@pts/1
    1     0 root     S     122m  1.5   2  0.0 /usr/lib/systemd/systemd --switched-root --system --deserialize 22
14093 14084 root     S     113m  1.4   2  0.0 -bash
29668 29658 root     S     113m  1.4   0  0.0 -bash
 9621     1 mysql    S     110m  1.4   2  0.0 {mysqld_safe} /bin/sh /usr/bin/mysqld_safe
 9540     1 root     S     107m  1.3   2  0.0 /sbin/agetty --noclear tty1 linux
 9848     1 root     S    82556  1.0   1  0.0 /usr/sbin/sshd -D
 9580     1 root     S    53060  0.6   2  0.0 /usr/sbin/wpa_supplicant -u -f /var/log/wpa_supplicant.log -c /etc/wpa_supplicant/wpa_supplicant.conf -u -f /var/log/wpa_supplicant.log -P /var/r
 9538     1 root     S    43696  0.5   0  0.0 /usr/lib/systemd/systemd-udevd
 9546     1 root     S    40384  0.5   2  0.0 /usr/sbin/lvmetad -f
 9539     1 root     S    36816  0.4   1  0.0 /usr/lib/systemd/systemd-journald
 9544     1 dbus     S    28972  0.3   0  0.0 /bin/dbus-daemon --system --address=systemd: --nofork --nopidfile --systemd-activation
 9543     1 root     S    26396  0.3   3  0.0 /usr/lib/systemd/systemd-logind
30215 14093 root     R     1292  0.0   3  0.0 busybox top
30158     1 root     S      400  0.0   0  0.0 {wdgvhi} [kworker/v6:6]
30166     1 root     S      288  0.0   1  0.0 {mthk} (sd-pam)
10350     1 root     S      284  0.0   1  0.0 {jycbhj} [kworker/9:1]

通过lsof查看该进程：

[root@test-03 ~]# lsof -p 31431
COMMAND   PID USER   FD      TYPE             DEVICE SIZE/OFF    NODE NAME
*       31431 root  cwd       DIR              253,0     4096     128 /
*       31431 root  rtd       DIR              253,0     4096     128 /
*       31431 root  txt       REG               0,33   542696 6835225 /tmp/uhtx (deleted)
*       31431 root    0r      CHR                1,3      0t0    4701 /dev/null
*       31431 root    1u     unix 0xffff8800350af0c0      0t0 6828783 socket
*       31431 root    2u     unix 0xffff8800350af0c0      0t0 6828783 socket
*       31431 root    3u     sock                0,6      0t0 6829176 protocol: NETLINK
*       31431 root    4r     FIFO               0,33      0t0 6828806 /tmp/c (deleted)
*       31431 root    5r     FIFO               0,33      0t0 6827876 /tmp/c (deleted)
*       31431 root    6r     FIFO               0,33      0t0 6831749 /tmp/c (deleted)
*       31431 root    7r     FIFO               0,33      0t0 6830646 /tmp/c (deleted)
*       31431 root    8r     FIFO               0,33      0t0 6832213 /tmp/c (deleted)
*       31431 root    9u  a_inode                0,9        0    4697 [eventpoll]
*       31431 root   10r     FIFO                0,8      0t0 6835229 pipe
*       31431 root   11w     FIFO                0,8      0t0 6835229 pipe
*       31431 root   12r     FIFO                0,8      0t0 6834371 pipe
*       31431 root   13w     FIFO                0,8      0t0 6834371 pipe
*       31431 root   14u  a_inode                0,9        0    4697 [eventfd]
*       31431 root   15r      CHR                1,3      0t0    4701 /dev/null
*       31431 root   16u     IPv4            6835231      0t0     TCP test-03:40516->45.77.54.157.vultr.com:http (ESTABLISHED)

可以看到我们自己的虚拟机与45.77.54.157建立了tcp连接，通过netstat也可看到，确认45.77.54.157不是属于我们自己的机器。
自己电脑上访问，是下面这个页面，应该是一个挖矿代理

安装iptables
原来的iptables已经被病毒干掉了。。。
下载了一个iptables-1.4.21-16.el7.x86_64.rpm包，传到这台虚拟机上，执行命令安装：
rpm --force -ivh iptables-1.4.21-16.el7.x86_64.rpm

添加iptables禁止访问规则

iptables -I INPUT -s 45.77.54.157 -j DROP
iptables -I OUTPUT -s 45.77.54.157 -j DROP

结果
病毒进程还是会自己拉起，但是CPU已经降下来了。

[root@test-03 ~]# busybox top
Mem: 6602140K used, 1409080K free, 403076K shrd, 32K buff, 869212K cached
CPU:  2.3% usr  0.0% sys  0.0% nic 97.6% idle  0.0% io  0.0% irq  0.0% sirq
Load average: 0.01 0.02 0.05 2/438 31847
  PID  PPID USER     STAT   VSZ %VSZ CPU %CPU COMMAND
14179     1 root     S    6217m 79.2   0  0.0 /opt/atlassian/confluence/jre//bin/java -Djava.util.logging.config.file=/opt/atlassian/confluence/conf/logging.properties -Djava.util.logging.man
 9817  9621 mysql    S    2419m 30.8   0  0.0 /usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/mysql --plugin-dir=/usr/lib64/mysql/plugin --log-error=/var/log/mysqld.log --pid-file=/var/run
 9549     1 root     S     664m  8.4   1  0.0 /usr/sbin/rsyslogd -n
 9581     1 polkitd  S     517m  6.5   1  0.0 /usr/lib/polkit-1/polkitd --no-debug
 9548     1 root     S     513m  6.5   3  0.0 /usr/sbin/NetworkManager --no-daemon
 9557     1 root     S     495m  6.3   1  0.0 /usr/sbin/libvirtd
14076     1 root     S     403m  5.1   0  0.0 /usr/libexec/packagekitd
 9547     1 root     S     328m  4.1   0  0.0 /usr/sbin/ModemManager
14084  9848 root     S     142m  1.8   2  0.0 sshd: root@pts/0
29658  9848 root     S     142m  1.8   2  0.0 sshd: root@pts/1
    1     0 root     S     122m  1.5   2  0.0 /usr/lib/systemd/systemd --switched-root --system --deserialize 22
14093 14084 root     S     113m  1.4   3  0.0 -bash
29668 29658 root     S     113m  1.4   3  0.0 -bash
 9621     1 mysql    S     110m  1.4   2  0.0 {mysqld_safe} /bin/sh /usr/bin/mysqld_safe
 9540     1 root     S     107m  1.3   2  0.0 /sbin/agetty --noclear tty1 linux
 9848     1 root     S    82556  1.0   2  0.0 /usr/sbin/sshd -D
31188     1 root     S    76248  0.9   0  0.0 * **
 9580     1 root     S    53060  0.6   2  0.0 /usr/sbin/wpa_supplicant -u -f /var/log/wpa_supplicant.log -c /etc/wpa_supplicant/wpa_supplicant.conf -u -f /var/log/wpa_supplicant.log -P /var/r
 9538     1 root     S    43696  0.5   0  0.0 /usr/lib/systemd/systemd-udevd
 9546     1 root     S    40384  0.5   2  0.0 /usr/sbin/lvmetad -f
 9539     1 root     S    36816  0.4   0  0.0 /usr/lib/systemd/systemd-journald
 9544     1 dbus     S    28972  0.3   1  0.0 /bin/dbus-daemon --system --address=systemd: --nofork --nopidfile --systemd-activation
 543     1 root     S    26396  0.3   1  0.0 /usr/lib/systemd/systemd-logind
31847 29668 root     R     1292  0.0   1  0.0 busybox top
31151     1 root     S      400  0.0   1  0.0 {dmpjil} [kworker/v6:6]
31736     1 root     S      288  0.0   1  0.0 {chrk} (sd-pam)
31144     1 root     S      284  0.0   3  0.0 {hwxkyb} [kworker/9:1]

使用lsof -p查看病毒进程，已经连不上45.77.54.157那个挖矿代理了

[root@test-03 ~]# lsof -p 31188
COMMAND   PID USER   FD      TYPE             DEVICE SIZE/OFF    NODE NAME
*       31188 root  cwd       DIR              253,0     4096     128 /
*       31188 root  rtd       DIR              253,0     4096     128 /
*       31188 root  txt       REG               0,33   542696 6835225 /tmp/uhtx (deleted)
*       31188 root    0r      CHR                1,3      0t0    4701 /dev/null
*       31188 root    1u     unix 0xffff8800350af0c0      0t0 6828783 socket
*       31188 root    2u     unix 0xffff8800350af0c0      0t0 6828783 socket
*       31188 root    3u     sock                0,6      0t0 6829176 protocol: NETLINK
*       31188 root    4r     FIFO               0,33      0t0 6828806 /tmp/c (deleted)
*       31188 root    5r     FIFO               0,33      0t0 6827876 /tmp/c (deleted)
*       31188 root    6r     FIFO               0,33      0t0 6831749 /tmp/c (deleted)
*       31188 root    7r     FIFO               0,33      0t0 6830646 /tmp/c (deleted)
*       31188 root    8r     FIFO               0,33      0t0 6832213 /tmp/c (deleted)
*       31188 root    9u  a_inode                0,9        0    4697 [eventpoll]
*       31188 root   10r     FIFO                0,8      0t0 6835229 pipe
*       31188 root   11w     FIFO                0,8      0t0 6835229 pipe
*       31188 root   12r     FIFO                0,8      0t0 6834371 pipe
*       31188 root   13w     FIFO                0,8      0t0 6834371 pipe
*       31188 root   14u  a_inode                0,9        0    4697 [eventfd]
*       31188 root   15r      CHR                1,3      0t0    4701 /dev/null
*       31188 root   16u     IPv4            6835231      0t0     TCP test-03:40516->45.77.54.157.vultr.com:http (SYN_SENT)

参考：https://blog.csdn.net/fengwuxichen/article/details/89574599

标签：centos,--,0.0,病毒感染,31188,usr,0t0,root,挖矿
From： https://www.cnblogs.com/xxllx/p/17633905.html

相关文章

  • centos8 selinux机制
      Permissiondenied在CentOS6.4中TFTP出现TFTPerror:'Permissiondenied'  这个是由于selinux机制引起的不是文件夹的权限问题。所以vi/etc/sysconfig/selinux修改为：SELINUX=permissive如果不想重启系统，执行：sudosetenfore0在开发板上执行：[root@EmbedSky/......
  • Centos安装Docker和Docker Compose
    本文介绍如何使用Centos服务器部署Docker和DockerCompose.背景信息本文中的命令使用的是root用户登录执行,若不是root用户要注意权限问题.笔者这里使用的是阿里云服务器,Linux版本为Centos7.9,使用SSH远程连接到服务器.安装Dockerdocker对Linux内核版本的最低要求是3.10......
  • 【运维】centos无法开机，提示fsck error 2 的解决办法
    今天收到客户寄回的硬件服务器，现象是无法开机，但是我们需要保留出磁盘阵列中的数据。查看系统启动日志，报如下的错误：提示fsckerror2fsck.ext2for/dev/mapper/centos-root随即，我们尝试恢复目录，采取了如下步骤：使用救援模式启动：重新启动计算机并选择进入救援模式（RescueMode）或......
  • Centos-国内常用源和离线环境的下载安装方法
    开始之前简单讲下源和包管理器的概念，个人理解如下：源就是平时我们win电脑上的360软件管家、腾讯软件管家、微软商店这个意思，提供下载各类软件包、安装包的平台；包管理器就是win电脑上各类软件的安装包，例如qq.exe、360.msi等，需要下载后用指定的命令可以进行安装、协助等操作，跟源配......
  • 添加NFS(Centos7)
    在Rancher中，我们需要映射磁盘值docker中，因此我们需要将磁盘路径挂载到docker内，但由于有多个服务器，我们需要指定存储某一台服务器内，这时候我们需要共享文件夹，来访问响应文件。因此我们这边引入了NFS1.环境准备1.1准备2台服务器A:172.16.169.220作为服务器......
  • 时序数据库TimescaleDB 功能介绍、单节点、集群安装部署、centos、linux
    简介TimescaleDocumentation|GettingstartedwithTimescaleTimescale是一个用于时间序列，事件和分析的PostgreSQL数据平台。提供了PostgreSQL的可靠性，这是时间序列的超能力TimescaleDB，。它提供自动备份和还原、复制的高可用性等功能，无缝缩放和调整大小等等性能对比：Ti......
  • CentOS Linux 7&8安全基线检查
    阿里云标准-CentOSLinux7/8安全基线检查检查项类别描述加固建议等级密码复杂度检查身份鉴别检查密码长度和密码是否使用多种字符类型编辑/etc/security/pwquality.conf，把minlen（密码最小长度）设置为8-32位，把minclass（至少包含小写字母、大写字母、数字、特殊字符等4类字符中等3类或4......
  • MongoDB——Centos五步安装并设置服务自启（一）
     简介：官方地址：MongoDB:TheDeveloperDataPlatform|MongoDBMongoDB是一个开源的NoSQL数据库管理系统，它使用文档型数据模型来存储数据，以下是MongoDB的基本信息文档型数据存储：MongoDB使用BSON（BinaryJSON）格式存储数据，它是一种类似于JSON的二进制表示形式。每个文档是一个包含字......
  • linux安装禅道(CentOS)
    提示：禅道是用PHP开发的，只要安装一个MySQL，找一个能跑php的web应用服务器，把禅道源代码放到里面，然后按步骤安装就可以了。不一定要用XAMPP，XAMPP只是把PHP环境和mysql都集成了而已。如果你想下载其他的版本http://www.zentao.net/download.html第一种方式:下载禅道:(64位)http://dl.cn......
  • CentOS7 安装
    1、下载ElasticSearch8.9并安装https://www.elastic.co/guide/en/elasticsearch/reference/8.9/rpm.html#rpm-repowgethttps://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.9.0-x86_64.rpmwgethttps://artifacts.elastic.co/downloads/elasticsearch/ela......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99