排查挖矿病毒

最新推荐文章于 2025-07-08 20:22:09 发布
原创 最新推荐文章于 2025-07-08 20:22:09 发布 · 4.8k 阅读 · 5 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux

场景

最新发现linux服务器一直很卡，导致无法编译和其它相关操作。

排查分析

经top 查看原来是一个叫269 的进程一直抢占CPU，占比高达4000%。而该269 进程则是挖矿病毒进行高度伪装，即使是kill 掉该进程也无济于事，后面又会自动跑起来。

top - 19:29:19 up  1:24,  2 users,  load average: 41.71, 41.75, 41.46
Tasks: 891 total,   3 running, 502 sleeping,   0 stopped,   0 zombie
%Cpu(s): 48.7 us,  0.2 sy,  0.0 ni, 50.6 id,  0.4 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem : 26380483+total, 24399928+free, 11714944 used,  8090604 buff/cache
KiB Swap:   588796 total,   588796 free,        0 used. 25003548+avail Mem 

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND                                                                                                                                                              
48124 root      20   0 7745272  10036      4 S  4089  0.0   1986:45 269                                                                                                                                                                  
17692 root      20   0 1445272 1.218g  33360 R 100.0  0.5  47:55.27 clamscan                                                                                                                                                             
15890 root      20   0  715656  58536      4 S  84.2  0.0   0:08.81 php-fpm                                                                                                                                                              
47926 root      20   0 1000496 214512      4 S  68.4  0.1  14:49.33 apache2                                                                                                                                                              
17176 root      20   0   39016  11136   5492 R  31.6  0.0   0:00.06 lsb_release                                                                                                                                                          
17168 root      20   0   43720   4620   3184 R  26.3  0.0   0:00.08 top                                                                                                                                                                  
16735 root      20   0  715912  52600      4 S  15.8  0.0   0:03.77 php-fpm                                                                                                                                                              
    1 root      20   0   78000   9100   6596 S   0.0  0.0   0:09.57 systemd                                                                                                                                                              
    2 root      20   0       0      0      0 S   0.0  0.0   0:00.05 kthreadd                                                                                                                                                             
    4 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 kworker/0:0H                                                                                                                                                         
    6 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/u160:0                                                                                                                                                       
    7 root       0 -20       0      0      0 I   0.0  0.0   0:00.00 mm_percpu_wq                                                                                                                                                         
    8 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/0                                                                                                                                                          
    9 root      20   0       0      0      0 I   0.0  0.0   0:11.03 rcu_sched                                                                                                                                                            
   10 root      20   0       0      0      0 I   0.0  0.0   0:00.00 rcu_bh                                                                                                                                                               
   11 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/0                                                                                                                                                          
   12 root      rt   0       0      0      0 S   0.0  0.0   0:00.03 watchdog/0                                                                                                                                                           
   13 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/0                                                                                                                                                              
   14 root      20   0       0      0      0 S   0.0  0.0   0:00.00 cpuhp/1                                                                                                                                                              
   15 root      rt   0       0      0      0 S   0.0  0.0   0:00.01 watchdog/1                                                                                                                                                           
   16 root      rt   0       0      0      0 S   0.0  0.0   0:00.00 migration/1                                                                                                                                                          
   17 root      20   0       0      0      0 S   0.0  0.0   0:00.00 ksoftirqd/1                                                                                                                                                          
   18 root      20   0       0      0      0 I   0.0  0.0   0:00.00 kworker/1:0
最低0.47元/天 解锁文章

200万优质内容无限畅学
《网络安全自学教程》- 挖矿病毒排查思路和处置步骤
wangyuxiang946的博客
05-05 2万+
首先根据CPU占用率确定确定挖矿进程，找到母体文件并清除。 而后是检查计划任务、启动项中，挖矿木马的持久化操作，杜绝复发。 最后通过账号、日志、母体文件等信息，溯源攻击路径。
一次挖矿病毒的排查过程
邓邓子的博客
06-06 602
由于重启前后，相关命令如ps、ls等都无法使用，最后重装系统！清除异常任务，重启服务器。
挖矿病毒/远控木马排查思路(Windows系统)
qq_51845659的博客
03-18 6395
挖矿病毒/远控木马排查思路（NOP Team团队发布的《Windows应急响应手册》学习笔记）
挖矿病毒排查
最新发布
starry_ke
07-08 278
学习笔记---Windows挖矿病毒&Linux挖矿病毒
挖矿病毒排查并清除
zm96309的博客
02-28 5100
近期，公司内网linux环境出现了挖矿病毒，该病毒占满cpu进行挖矿，导致系统缓慢。现摸索了以下步骤进行清除。 1、检测服务器是否有挖矿病毒。 使用top命令查看进程及占用cpu百分比，如果该进程名称为随机字符串，且cpu占的非常的高。则很可能是感染了挖矿病毒。 2、输入systemctl status 病毒进程id kill掉CGroup的进程id 3、输入ps -ef|grep tracepath，查看是否有这个进程存在。该进程推测是暴力破解ssh其他服务器的进程且..
阿里云服务器---排查挖矿病毒
lvxiucai的博客
02-06 4191
1.背景 记录一次排查挖矿病毒的过程，其实都是按照阿里云官方教程操作，其中有些操作命令需要重点记录下，为后面生产环境做铺垫学习。 2.现象 近期测试服务器有黑客通过redis的6379端口入侵，然后阿里云发送报警信息，然后登录控制台发现以下报警信息： 3.恶意文件删除 原先还担心 /etc/sysguard 是不是系统自带的，后来，检查看了下其他机器/etc目录下，都无此文件。遂放心...
Linux下CPU1000%记一次挖矿病毒清理流程
05-29 769
今天top后发现一个进程CPU高1795%，判断是病毒。
挖矿病毒应急响应处置手册
安全狐
03-21 1052
通常来说，当我们的服务器或PC资源(CPU)使用率接近或超过100%，并持续高居不下导致服务器或PC操作延缓，我们就可以判定被挖矿。常见挖矿其它特征如下：服务器或PC访问过不受信任的地址，这些地址包括：主机、IP、域名。这是由于大部分挖矿都需要从一个不受信任的地址下载初始化程序，而不受信任的来源主要是：第三方情报结构，企业内部历史数据沉淀。服务器或PC新增异常或恶意文件、进程或服务，并且大部分异常文件保存在服务器或PC的TMP目录中。服务器或PC的定时任务发生变更。
一次挖矿木马病毒排查过程
vbaspdelphi的专栏
04-17 8557
兰眼发现该机器与挖矿网站有通信。通知用户进行查杀。电话得知北京刘工不方便，我们商讨后由我们代为安装火绒和rdpguard软件。 经过查杀，将RAR病毒处理后，截止到11:15，已经没有了病毒表现。 但是使用火绒再次扫描系统，依旧发现有文件映像劫持。大体意思是图片文件扩容属性运行taskmgr.exe。 那么什么是映像劫持呢？ 什么是映像劫持 也许你曾遇到过这种情况：无论你将软件安装在什么地方，在运...
Linux挖矿病毒排查(通过redis入侵服务器原理)
程序员阿飘 的博客
01-11 1724
3.将公钥写入目标机器的authorized_keys 文件* cat foo | redis-cli -h 12.34.56.78 -x set crackit* redis-cli -h 12.34.56.78* config set dir /root/.ssh/* config get dir* config set dbfilename "authorized_keys"执行程序在/tmp下2.find / -name qW3xT.4, find / -name ddgs.3016;
挖矿病毒攻击的排查处置手册
热门推荐
煜铭2011
07-01 1万+
一、背景 在用户不知情或未经允许的情况下，占用系统资源和网络资源进行挖矿，影响用户的网络和资源，从而获取虚拟币牟利。 为了帮助应对恶意挖矿程序攻击，发现和清除恶意挖矿程序，防护和避免感染恶意挖矿程序，整理了如下针对挖矿活动相关的现状分析和检测处置建议。 二、为什么会感染恶意挖矿程序 通常遇到企业内网主机感染恶意挖矿程序，或者网站、服务器以及使用的云服务被植入恶意挖矿程序的时候，都不免提出“为什么会感染恶意挖矿程序，以及是如何感染的”诸如此类的问题，目前感染恶意挖矿程序的主要方式： 2.1.利用类似其他病毒木
快速排查定位“挖矿病毒”
flora_xwf的博客
04-24 417
发现nvidia-smi已经没有显示任何进程使用GPU了，但是nvidia-smi pmon可以查看到python3进程，这个很可能就是病毒进程（eg：310880）。）文件，发现进程文件夹中伪造了很多系统命令，进一步查找，找到了一个进程的cmdline文件，查看文件内容，发现了病毒命令。SSH远程登录至服务器，使用nvidia-smi命令查看到GPU利用率极低，大部分在30%以下很少出现100%。结论：从输出命令看，进程使用了ostratum挖矿协议，指向了外网，继续排查发现，一旦SSH。
记一次linux排查挖矿病毒
qq_44803385的博客
03-20 395
所以先把他杀死试试， 发现根本没用，这个就和牛皮糖一样粘在了电脑上面，那么现在猜测应该就是上面的定时任务搞的鬼。由于服务器又被挖矿病毒染上了，所以被学校封禁了ip，老是这样也不是办法，所以自行解决一下。首先利用 crontab -l 查看一下有啥定时任务，这一步并没有发现异常。然后进入/etc/cron.d 目录进行查看，此时发现了异常。这个fold一看就很可以，包括后面的cat tr 也很奇怪。然后使用 top命令查看一下运行内存占用情况。这玩意一看就是挖矿病毒来的（以前找过一些）
【Linux】排查进程、挖矿病毒查找
qq_39165617的博客
02-28 8825
这里写目录标题问题查看期父子进程以及命令查看其网络连接排查解决 问题 实验室中有一台服务器，top指令发现一进程-bash其CPU占用极高，使用了20个核心，占用高达50%，使用kill指令停止进程后又会重新启动 查看期父子进程以及命令 ps 发现其执行命令为systemd pstree，每个核心开了一个在跑 查看其网络连接 发现其与国外某IP建立了tcp连接 排查 查看定时任务 crontab -l 还可查看自启动服务，执行ll /etc/systemd/system/multi-user.t
挖矿病毒排查演示
zhuge_long的专栏
09-20 1113
查看一下这两个目录，这是两个进程执行时候的信息，可以看到两个执行文件都已经被删掉了，所以我们无法在磁盘上用find命令找到他们，但是他们都在内存中执行。执行完上面两个步骤就可以了，我们还可以把这个定时任务里的可执行文件0g6evy下载到本地，并且上传到尾部沙箱检测一下。用netstat -anp命令查看一下网络连接，发现出现了很多主动向外部链接的请求，而且是上面看到的那个占用cpu比较高的奇怪的进程做的。可以使用crontab -l先查看一下定时任务，可以发现这个0g6evy的文件，所在目录一直在改变。
GPU服务器中挖矿病毒的排查经历与经验
weixin_45256848的博客
12-22 666
病毒修改了linux的动态链接库，无法直接删除病毒文件及保护服务。后面虽通过网络限制了病毒入侵，但确保服务器中无病毒文件（现场无运维，病毒占用了几个月之久），进行了核心文件备份及服务器重装。,发现国外ip连接redis，进一步发现/root/,ssh目录下的authorized_keys公钥文件中内容异常。redis-server目录下发现pnscan文件，到此定位为pnscan病毒。服务器表象，生产环境部署的数据库不定时重启，导致各类应用服务异常。根据上一步结果，排查pkill，发现pid和ppid。
GPU服务器中挖矿病毒-查杀-分析-预防
qq_40156289的博客
09-17 3578
1. 确认是挖矿病毒 使用命令nvidia-smi发现GPU被root用户(也可能是普通用户)大量占用，体现形式为：显存占用率不一定为100%，但GPU使用率为100%。 使用命令 top(htop) 发现CPU使用率非常高，将近100%。(注意此处可能看到很多以root用户运行的程序，但大多数可能是系统默认程序。) 使用上述两个命令，可以发现CPU和GPU均被大量占用，此时我们利用nvidia-smi命令查看运行程序的PID进程号，并尝试通过kill的方式结束进程，若发现kill后会重启，并且
Linux服务器挖矿木马病毒查杀记录（-bash mcrond bprofr pwnrig ntpdate dbused sysdr）
jackhanyuan的博客
10-09 2778
近期，服务器异常，通过htop或top命令查看CPU占用前几的进程，发现root用户的-bash进程把CPU一半的核占满，而另一台服务器上x用户（被新创建的用户）和一个普通用户CPU占用也异常。杀掉进程后立马又启动了新进程，查看PID目录，可以看到exe指向了一个被删除了的-bash进程(/usr/bin/-bash)，使用查看State为的网络连接，发现有异常外网连接这应该就是-bash病毒木马了。
linux挖矿病毒排查
12-07
Linux系统中挖矿病毒的排查可以通过以下步骤进行： 1.使用top命令查看系统资源占用情况，如果发现CPU、内存、网络等资源占用率异常高，可能存在挖矿病毒。 2.使用netstat命令查看网络连接情况，如果发现大量连接到疑似挖矿池的IP地址，可能存在挖矿病毒。 3.使用ps命令查看进程情况，如果发现疑似挖矿程序的进程，可以使用kill命令结束进程。 4.使用clamscan命令对系统进行病毒扫描，可以检测出挖矿病毒等恶意软件。 5.使用安全加固工具对系统进行加固，例如关闭不必要的服务、更新系统补丁、设置防火墙等。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值