挖矿病毒伪装TOP命令占用CPU问题排查

╰半橙微兮° 2023-03-06 05:52 5阅读 0赞

## 场景 ##

前几天搭建了个frp的访问通道，用来在外网访问自己的内网的一个集群，一开始无任何问题，但是呢，从昨天开始，集群的一些组件就无法启动或者丢失连接，并且主机列表里的心跳信息是好久之前的，本以为是服务器挂了，但是看了一下是好的，就是有点卡，以为是服务启用多了，内存或磁盘满了，然后看了下发现并没有，，然后就想看下CPU的情况，但是呢，top命令竟然无法使用：

![在这里插入图片描述][20200805215156321.png]  
到/usr/bin下边一看，top竟然没得咯，想想估计是误删吧，就从其他机器上scp一个过来，然而，其他机器上也没有，那只能先装个htop看下情况。

yum -y install epel-release
    
    yum -y install htop

装好一看，cpu被占的满满登登啊：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70]  
占用的进程是top，但是明明没有top呀，先不管，重启下再说。重启之前，从一台正常的机器上scp过来了一份top命令。

重启后尝试使用top命令，依然无法使用，查看/usr/bin下之前scp来的top又没了，被删掉了，到这里已经意识到是中毒了，此top非彼top，一定是病毒伪装的。接下来就是排毒过程。

## 排查过程 ##

*  首先尝试kill掉进程，无效，刚kill掉又会重新启动，那可能是有定时任务重启的；
 *  查看定时任务：
    
    ![在这里插入图片描述][20200805220341462.png]  
    果然这里藏了个top，先把定时任务停掉，然后删掉/lib32下的top，kill掉进程；
 *  再次htop，发现cpu正常了，过段时间依然正常
 *  检查开机启动项，发现多了最后一行，把这行删掉：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 1]

*  顺着路径找过去，发现同一时间新增了几个文件：  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 2]  
    查看正常的机器上边没有这些文件，把这些文件下载到windows上，用记事本打开直接报病毒。于是取消操作限制，全部删掉
 *  检查定时任务，有没有可以的东西，发现有个pwnrig的任务，不知道什么东西，关掉它  
    ![在这里插入图片描述][20200805221802791.png]
 *  重启

重启后一切正常了。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 3]  
主机心跳也回来了，组件也能正常启动了：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 4]

## 分析 ##

几台机器都弄完之后，就百度google一下还没有遇到过伪装top命令的现象，百度了下关键字"pwnrig"，发现是个挖矿病毒：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 5]

和文章中描述的还是有所区别的，这次遇到的是会把top命令在开机启动的时候删除掉，并用病毒程序伪装为top，一方面起干扰作用，一方面阻止你查看cup信息。造成的现象和影响就是：top命令占满CPU，服务器无法正常运行。

## 总结 ##

导致这个问题的根本原因还是安全控制没做好，为了偷个懒，把暴露在公网的端口没做IP验证，并且因为是内网的服务器，ssh密码设置过于简单，导致了这次问题。所以对公网端口，一定要做限制以及强验证，最大限度的减小被攻击的可能，并且对于常用端口更换为其他端口，这样也能减小被扫到的概率，减小中毒风险。

[20200805215156321.png]: /images/20230208/bb4a8bf654ea447a83d23ba7c06443ff.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70]: /images/20230208/fee75706f46a4b5db8321063e9669e1a.png
[20200805220341462.png]: /images/20230208/f9133b12775242e59804fb90b16295f2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 1]: /images/20230208/2787fe4450a54ea6948ee4a1fb681f47.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 2]: /images/20230208/0f75f30fce4f4330877255fddf1caa21.png
[20200805221802791.png]: /images/20230208/bc10248f77c6425ebe9c48d28d675768.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 3]: /images/20230208/aafaab0fe14746ceb4140a7b20d45f00.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 4]: /images/20230208/5a3c64a208d44cf3b9160bbb3973e6f8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d4Z3hncA_size_16_color_FFFFFF_t_70 5]: /images/20230208/2853c16b64974704b19992b89286374c.png