专栏首页FreeBuf记一次挖矿病毒分析

记一次挖矿病毒分析

前言

上午接到同事通知,有客户中了挖矿病毒,所以通过 ssh 登陆服务器检查,简单记录后遂有此文。

阶段一:从发现脚本到删除脚本

1、使用top命令查看系统运行情况,发现多个名为sustse的进程占用 cpu 资源过高。

2、使用whereis sustsewhich sustse命令查找此命令位置,发现未找到。

3、使用find / -name sustse命令查找文件是否存在,此时找到文件在/var/tmp/sustse下面,且同目录下面有另外两个文件

发现这个文件时我就比较干脆,结束进程,删除文件.但是没一会进程有出现了。

阶段二:从脚本再次出现到彻底清除

1、使用命令ps -anx | grep sustse查看与sustse相关的进程。此时我就懵了为啥删除了文件,还会出现呢。突然想起来之前打 CTF 是用的一种利用定时任务启动的后门。

2、使用命令crontab -l查看是否有定时任务,发现里面有这个一条。

3、我比较直接,记录下来后直接删除,然后删除文件,结束进程。等待一会看看进程是否会再次启动。一段时间后发现挖矿脚本已经被清除。

阶段三:脚本分析

脚本下载地址:http://www.tionhgjk.com:8220/mr.sh

1、脚本内容一

结束部分进程,删除一些文件。具体目的没有搞懂,这里做个猜测会不会是之前版本的地址发生了变化,现在要干掉这些; 删除一些文件。

2、脚本内容二

判断文件是否存在,如果存在就验证sustse文件的MD5值判断这文件是不是他的。如果不存在就给变量 DIR 赋值为”/var/tmp”

判断命令curlwget是否存在。

3、脚本内容三

downloadIfNeed函数判断是否需要下载sustse文件,如果需要就调用 download 函数。

4、脚本内容四

download 函数判断 sustse3文件是否存在或者sustse3文件的 MD5值是否符合,不符合或者文件不存在就调用 download2; download2函数,判断系统是不是64位,如果是就从http://www.tionhgjk.com:8220/tte2下载,下载位置在/var/tmp/sustse; 验证 sustse 的MD5值,如果 MD5值符合,就改名为sustse3。

5、脚本内容五

judge 函数下载 http://www.tionhgjk.com:8220/wt.conf 到/var/tmp/wc.conf; 使用nohup 启动 sustse,且在后台运行; judge2函数,使用nohup 启动 sustse,且在后台运行。

6、脚本内容六

使用 crontab 创建定时任务。

查看sustse运行配置文件

发现有一个 GitHub 地址,查看之后发现是门罗币的挖矿程序。查询tionhgjk.com的注册信息发现域名的注册日期是2018-10-06T19:45:40.00,但是没有找到更多信息。

至此结束!

*本文作者:lostCooky,本文属 FreeBuf 原创奖励计划,未经许可禁止转载

本文分享自微信公众号 - FreeBuf(freebuf)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2018-11-09

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • WanaCrypt0r“想哭”勒索蠕虫数据恢复可行性分析报告

    目录 第一章 前言… 第二章 加密文件核心流程分析… 第三章 数据恢复可行性分析… 第四章 总结… 第一章 前言 近日,360互联网安全中心发现全球多个国家和地...

    FB客服
  • 利用Office文档结合社会工程学手段欺骗用户执行恶意代码

    Microsoft Office文档为攻击者提供了各种欺骗受害者运行任意代码的方法。当然,攻击者可能会尝试直接利用Office漏洞,但更常见的情况是向受害者发送...

    FB客服
  • 文件监控程序V2.0改进版(网站防挂马好手)

    前言 技多不压身,多掌握几种不同的编程语言,不但有助于开拓我们的视野,还可以让我们在工作时,自己写一些小程序来帮我们减少工作量。 前段时间给一个客户维护服务器,...

    FB客服
  • System Generator设计转FPGA设计

    还是使用昨天的那个设计好的文件,打开方式一样,需要先打开System Generator 2018.2,然后等待相关的库加载到MATLAB了,再从MATLAB中...

    狂人V
  • Linux Shell 1>/dev/null 2>&1 含义

    命令的结果可以通过%>的形式来定义输出 /dev/null :代表空设备文件 > :代表重定向到哪里,例如:echo "123" > /home/123.t...

    阳光岛主
  • 注意!让你无法拒绝的新版公众平台文章编辑器来啦!

    运营微信公众号的小伙伴登陆微信公众平台后,以为进错了后台! ↓↓↓ ? 右下角的编辑器竟然居中了! (处女座开心哭了) 原来是微信公众平台新版正式上线了!对此,...

    腾讯大讲堂
  • 该对机器人征税吗?

    ---- 工业机器人的大量使用,让越来越多的工人开始担心自己的工作哪一天会被机器人取代。毕竟目前工厂中的大部分工人都属于低技能工人,他们的工作是最容易被机器人...

    机器人网
  • 微信WebView会话时长

    但实际测试结果,却并非如此,微信会一直保留这个会话cookie,直到微信进程退出。

    libo1106
  • 新零售概念火了?这家年销售额20亿的电商平台笑而不语

    造节已经成了电商平台的必备技能,在天猫双11、淘宝双12、京东618和苏宁818之后,造节之风又蔓延到了垂直电商行业。日前,中国最大在线潮流贩售平台YOHO!B...

    罗超频道
  • Android开发笔记(二十四)res目录的结构与配置

    res是Android项目工程中存放各类的目录,主要包括布局、图形与配置等等。res的子目录主要有:

    用户4464237

扫码关注云+社区

领取腾讯云代金券