V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
stephCurry
V2EX  ›  程序员

服务器中了 Xmrig 木马

  •  
  •   stephCurry · 2021-01-29 22:07:46 +08:00 · 1696 次点击
    这是一个创建于 1154 天前的主题,其中的信息可能已经有所发展或是发生改变。

    首先发现服务器 4 核 cpu 爆满,然后找到执行的路径。 木马文件路径如下:

    /tmp/.mx
    ├── a
    ├── a2
    ├── cron.d
    ├── h64
    ├── run
    ├── update
    ├── update2
    ├── x
    ├── x2
    └── xm64
    

    发现 cron.d 中不断执行* * * * * /tmp/.mx/update >/dev/null 2>&1* * * * * /tmp/.ICE-unix/.init/./sshd -lan 局域网 ip;

    通过尝试手动执行 update, 提示信息出了 https://xmrig.com/wizard , 遂知是 xmrig 挖矿木马;

    但是/tmp/.ICE-unix/文件下并没有任何文件,所以想知道那个 sshd -lan #IP 到底是干什么的?

    至于清理木马,直接把 /tmp/.mx 文件删了,crontab 清理了,kill 掉执行的木马进程即可。

    touno
        1
    touno  
       2021-01-30 00:07:17 +08:00
    所以?重装系统解决百分之九十以上问题~好的!下一个~
    hotsymbol
        2
    hotsymbol  
       2021-01-30 01:45:28 +08:00
    rm -f **/**
    Les1ie
        3
    Les1ie  
       2021-01-30 10:42:03 +08:00
    这个 sshd 可能并不是平时用于 ssh 的 /usr/sbin/sshd,可能是某个恶意进程改了个名字
    eason1874
        4
    eason1874  
       2021-01-30 15:28:31 +08:00
    好奇怎么做到 4 核爆满的,我自己配置,换了好几个系统都只能跑满一半核,16 核只会有 8 个核在跑,换 8 核又只有 4 核在跑,给我浪费了服务器试用时间
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   1227 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 27ms · UTC 18:04 · PVG 02:04 · LAX 11:04 · JFK 14:04
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.