解决挖矿病毒占用高cpu（sysupdate、networkservice）

朱雀 2023-07-20 12:25 4阅读 0赞

我也是有一段时间服务器变的很卡，那时我还以为是我自己的软件装太多导致的问题，不看不知道，看了吓一跳，服务器已经被攻击了，接下来，我来分享下如何查找和解决这个病毒。

一、找出病毒

当发现服务器卡的时候，我们可以采用top命令，如下显示

![format_png][]

image.png

我们注意看以上这几个进程，没稍加注意的话，我们还以为这几个是正常的进程，为啥呢？

1、毕竟这几个的user是apache、www、nobody，因为我的web站点，文件目录是www目录，所以这个地方很容易被误认为就是我们的站点目录，而且apache本来是web服务，它取成了这个名词，也容易混淆我们的视野。  
2、后面的command名称取成了networkservice 和sysupdate，名称很像我们的系统进程，  
3、每个进程的cpu占用都比较小，平均差不多20%个cpu，可是这么多进程加起来，CPU占用就爆炸了，将近100%了

从上面这个地方可以发现这个攻击者很聪明，懂得用这种名称来混淆我们的视野

二、确认病毒

从上面的top命令知道了这几个占用比较大的进程号，我们可以根据其中的某个进程，比如7081入手，来查找其他关联的进程，使用以下命令，如下图所示

systemctl status 7801

![format_png 1][]

进入到/etc目录下，  
我们可以看到有sysupdate、networkservice、sysguard三个文件，这三个文件都是二进制文件，这三个应该就是挖矿的主程序和守护程序。还有一个update.sh文件，这应该是对挖矿病毒升级用的。这个update.sh怎么找出来的呢，其实是通过定时程序里面的cron找出来的。

再进入到 /var/spool/cron看下定时程序  
如下图所示

![format_png 2][]

可以看到这几个文件名称，和刚刚占用cpu高的进程user，名称是一样的

这样就可以确认的确是病毒攻击了服务器

三、解决

1、删除定时程序

rm -rf  apache
    rm -rf  nobody
    rm -rf  root
    rm -rf  www

2、杀掉进程，并删除文件  
以下这几张图片的进程id，分别进行kill杀掉

![format_png 3][]

然后删除/etc下面的 sysupdate、networkservice、sysguard、update.sh和config.json几个文件  
这时候，你可能会发现无法删除，因为病毒使用了chattr +i 命令，使用如下命令即可删除

chattr -i sysupdate
    rm -rf sysupdate

每个无法删除的文件，都执行如上命令，即可实现删除文件

3、/root/.ssh/authorized\_keys 删除  
可能攻击者已经在这里配置了登陆，攻击者可以随便登陆你的服务器，你这里要把秘钥也修改下

经过这些处理后，可以发现我们的服务器已经不再卡了，如下，没有占用高的程序了

![format_png 4][]

[format_png]: /images/20230528/b6c0284deb614a49ab2f733fc3b10c8b.png
[format_png 1]: /images/20230528/be1cd9070e244de4b829dafdbac0a58f.png
[format_png 2]: /images/20230528/13abff9b59aa42b1bef854ac7b679219.png
[format_png 3]: /images/20230528/66a57bf7b12e44df91a0be7adcc041ba.png
[format_png 4]: /images/20230528/41d8de3fb34e43e48b562673082235a1.png