AGATHA_66的博客

系统被SSH暴力破解后，攻击者会在系统目录下添加.configrc5文件夹，文件结构内容如下，名为“a”的文件夹下存放开源门罗币挖矿程序kswapd0（xmrig）和启动脚本，名为“b”的文件夹下存放后门程序run和执行脚本。执行stop脚本，睡眠10秒，列出当前工作的路径并输出到dir.dir的文件中，执行kswapd0挖矿程序，把最后运行的后台进程的PID写入到一个.pid文件中。