大柚子

这世界不过如此

注:本文旨在梳理在发现中了挖矿病毒后如何快速清理的思路。

前言

在被植入挖矿病毒后,如果攻击者拥有足够的权限,比如root权限,往往会对系统命令进行劫持,达到隐藏自己的效果,故第一步最好是先确认是否存在rootkit劫持、库劫持,之后的命令执行操作也最好是通过busybox执行

清理流程

注:命令均在busybox工具下执行

检查修复dns

挖矿病毒有时候为了防止访问不到矿池或者代理,往往会修改dns记录,故可以先查看“/etc/resolv.conf”文件内容情况

停止计划任务

为了做到持久化控制,在攻击者权限足够的情况下,往往会写计划任务项,达到持续执行挖矿脚本的目的,为了清理过程中不会再都执行挖矿脚本,先把定时任务服务停止。

    chattr -R -ai /etc/ &>/dev/null  #去除文件不可修改权限
    systemctl stop crond #centos为crond,ubuntu为cron
    systemctl stop atd
    pkill crond 
    pkill atd

取消tmp目录的可执行权限

攻击者为了方便,往往会把运行脚本隐藏在tmp目录下,但是我们清理过程中,如果怕误删或者不清楚哪些是恶意文件的话,可以直接取消tmp目录下所有文件的可执行权限

chattr -R -ai /tmp/ /var/tmp/ /dev/shm/
chmod -R -x /tmp/ /var/tmp/ /dev/shm/

服务排查

正常情况下,服务器所起的系统服务是不会变动的,可以排查中挖矿病毒前后系统服务的变动情况,排查确认异常后可将服务停止,并将文件打包移走

find /etc/systemd/system/ -mtimee -近期变动时间 -type f
chattr -ia filename  #filename为近期找到的变动服务文件
systemctl stop 服务名 #停止服务
systemctl disable 服务名 

进程排查

查看所有进程的信息,排查”/proc/pid号/exe” “/proc/pid号/cmdline” ,检查进程的启动命令,已经引用的exe软连接的真实路径。其中如果/proc/pid号/exe”中调用了/bin/bash,(deleted),/tmp/ 都是可疑,有必要排查是否是异常项

高cpu占用进程查杀

中挖矿病毒的一个重要特征就是cpu占用率会非常高,当然一些挖矿病毒为了更好的隐藏自己当老6,会控制cpu的占用率,比如维持在50%以下,同时很多时候我们如果不用busybox的话,top命令等都是看不到有高占用cpu的进程的。

这里可以使用htop,busybox的top命令查看是否高占用cpu的进程,同时通过进程号可查看“/proc/pid号/cmdline”判断是否是异常进程,确认后使用kill命令终止挖矿进程即可

计划任务清理

最开始的时候我们只是停止了计划任务服务,但是并没有对计划任务文件进行清理,这里对计划任务进行清理,一个简便的方法就是查看中挖矿前后发生变动的计划任务文件,这些都是可疑的。

#计划任务目录
("/etc/crontab" "/var/spool/cron/" "/etc/cron.d/" "/etc/cron.daily/" "/etc/cron.hourly/" "/etc/cron.monthly/" "/etc/cron.weekly/" "/etc/init.d" "/etc/rc.d/" "/etc/rc.local")
#排查这些目录中近期发生过变动的文件
find 计划任务目录 -type f -mtime 挖矿前后时间

预加载劫持清理

挖矿有时候为了隐藏自己,会对系统的预加载配置进行修改,让执行的命令加载恶意的so文件,这里需要对这些文件进行清理(注:不确定的时候不要随便清除,如果是劫持的系统自身的so文件,最后找个干净系统的so文件替换)

检测预加载文件,用busybox命令查看
cat /etc/ld.so.ppreload   #这个文件默认是空的和不存在的,如果有内容并且确认不是管理员的操作话,那么这个so文件就有问题

系统命令变动排查

一直有说到,挖矿为了隐藏自己,有时候会修改系统命令,让我们排查的时候看不到它,这里通过时间排查挖矿后被变动过的系统命令(一般这个命令文件是不会有变动,故变动过的都是可疑的)

cat $PATH   #环境变量下目录
find 环境变量目录 -type -executable -mtime -挖矿前后时间
chattr -ai -R 环境变量目录  #解除环境变量目录不可修改权限,之后对异常命令打包清理

挖矿前后可执行文件排查

正常情况下,系统的可执行文件基本是不会变动,基本不会有新增,那中挖矿时间前后变动的可执行文件都是可疑,需要进一步排查清理。

find /etc /tmp /user /root /var /lib /dev/shm -maxdepth 3 -mtime -挖矿前后时间 -type f -executable

系统配置文件排查

由一些挖矿病毒会对系统配置文件进行修改,这里对这些配置文件操作需要慎重,需确认的确是异常后再清理。

系统配置文件目录:/etc/profile /home/用户名/.bash_profile /home/用户名/.bashrc /home/用户名/.profile
find  系统配置文件目录 -type f -mtime -挖矿前后时间

小结

清理到这里,挖矿病毒以及残留文件已经清理干净了,后续的就是重新开启定时任务,重新安装系统命令,恢复dns配置文件,排查入侵原因

Print Friendly, PDF & Email

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注