ubuntu搭建jira破解版导致中病毒kdevtmpfsi处理过程

ubuntu搭建jira破解版导致中病毒kdevtmpfsi处理过程

场景：搭建jira破解版本，docker镜像为：registry.cn-hangzhou.aliyuncs.com/yangmingquan/jira:8.1.0

---

场景描述

使用该镜像搭建jira后会自动注入木马kdevtmpfsi，跑满你的CPU，经证实是20年爆发的挖矿僵尸网络蠕虫病毒

root@SI4pAXhYz8a7p:~# top

处理过程：

一.查看相关的进程

1.top一下

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND                    
 701873 postgres  20   0 3108576   2.3g      0 S 396.3  29.6   3296:46 kdevtmpfsi                                       
 766975 root      20   0   11036   4084   3256 R   0.3   0.1   0:00.03 top                                 

2.查询这个进程的相关程

root@SI4pAXhYz8a7p:~# systemctl status 701873
● cron.service - Regular background program processing daemon
     Loaded: loaded (/lib/systemd/system/cron.service; enabled; vendor preset: enabled)
     Active: active (running) since Fri 2025-02-21 02:09:17 UTC; 24h ago
       Docs: man:cron(8)
   Main PID: 609254 (cron)
      Tasks: 21 (limit: 9477)
     Memory: 2.3G
        CPU: 2d 6h 50min 52.923s
     CGroup: /system.slice/cron.service
             ├─609254 /usr/sbin/cron -f -P
             ├─698615 /tmp/kinsing
             └─701873 /tmp/kdevtmpfsi

3.查询postgres用户的进程

root@SI4pAXhYz8a7p:~# ps -ef | grep postgres
postgres  698615       1  0 Feb21 ?        00:00:24 /tmp/kinsing
postgres  701873       1 99 Feb21 ?        2-04:26:55 /tmp/kdevtmpfsi
root      761430  761351  0 02:03 pts/0    00:00:00 crontab -u postgres -e
root      762441  761894  0 02:13 pts/1    00:00:00 grep --color=auto postgres

可以看到698615和701873这两个就是木马的进程了。

4.确认恶意进程

/tmp/kinsing 和 /tmp/kdevtmpfsi 这两个进程可能与已知的恶意软件有关，特别是 kinsing 是一个已知的挖矿木马

5.杀死进程,删除可疑的文件

sudo kill -9 698615
sudo kill -9 701873
sudo rm -f /tmp/kinsing
sudo rm -f /tmp/kdevtmpfsi

二.使用crontab指令找出postgres创建的定时任务, 删除掉

root@SI4pAXhYz8a7p:~# crontab -u postgres -e

1.记下IP，按两下d键删除，保存即可。

2.将ip禁掉

root@SI4pAXhYz8a7p:~# sudo ufw deny from 185.81.68.124
Rule added

3.重启 UFW

root@SI4pAXhYz8a7p:~# sudo ufw reload
Firewall reloaded

三.写一个脚本，定时杀进程

1.新增脚本

root@SI4pAXhYz8a7p:/opt# vi kill_kdevtmpfsi.sh

# 杀死可疑进程
pkill -f -e 'kinsing|kdevtmpfsi'
# 查找并删除可疑文件
find / -name "kinsing" -type f -exec rm -f {} \; 2>/dev/null
find / -name "kdevtmpfsi" -type f -exec rm -f {} \; 2>/dev/null

2.

root@SI4pAXhYz8a7p:/opt# pwd
/opt
root@SI4pAXhYz8a7p:/opt# sudo chmod +x /opt/kill_kdevtmpfsi.sh 

3.把脚本添加定时任务每5分钟执行一次

crontab -e:

*/5 * * * * /opt/kill_kdevtmpfsi.sh >> /opt/log/kill_and_remove.log 2>&1

四.工作完成后，检查还有没有相关的文件和进程

root@SI4pAXhYz8a7p:~# find / -name kinsing
root@SI4pAXhYz8a7p:~# find / -name kdevtmpfsi
root@SI4pAXhYz8a7p:~# crontab -u postgres -l

没有相关进程和定时任务了，可以会一段时间再检查一下是否生成