记一次linux挖矿木马的处置

原创

已于 2024-05-13 15:18:05 修改 · 6k 阅读

文章标签：

#linux #运维 #服务器

于 2022-09-15 10:48:47 首次发布

本文记录了一次对服务器上高CPU使用率的warmup进程进行排查的过程，发现该进程为挖矿木马。通过分析进程、启动项、计划任务和邮件，找出了恶意文件和矿池地址。应急处置包括结束进程、删除启动项、计划任务和服务，并全盘查杀木马。同时提出了安装杀毒软件、避免弱密码、关闭不必要的服务、谨慎安装应用和提高网络安全意识等防范措施。

场景

受公司委托对客户服务器挖矿木马进行应急处置，客户说服务器很卡让我们排查处置一下，okok，直接远程开搞开搞，所有可疑文件先下载留存，再删除。

排查分析

使用top命令查看CPU使用率时发现，进程warmup CPU使用率过高，如图所示，该进程高度可疑。即使是kill 掉该进程也无济于事，后面又会自动跑起来。

使用ps命令查看进程时发现可疑进程/root/.warmup/warmup，如图所示。

通过命令chkconfig排查开机启动项，如图找到warmup文件

通过find / -name "*warmup*"命令排查启动项时发现存在10个可疑启动项，/etc/rc.d/init.d/warmup、/etc/rc.d/rc0.d/K15warmup、/etc/rc.d/rc1.d/K15warmup、/etc/rc.d/rc2.d/S85warmup、/etc/rc.d/rc3.d/S85warmup、/etc/rc.d/rc4.d/S85warmup、/etc/rc.d/rc5.d/S85war