Linux中挖矿病毒清理通用思路

dayouziei

已于 2023-04-19 20:06:10 修改

阅读量4.1k

点赞数 2

分类专栏：应急响应文章标签： linux 网络安全系统安全安全

于 2023-04-19 20:03:59 首次发布

本文链接：https://blog.youkuaiyun.com/youuzi/article/details/130251856

版权

前言

在被植入挖矿病毒后，如果攻击者拥有足够的权限，比如root权限，往往会对系统命令进行劫持，达到隐藏自己的效果，故第一步最好是先确认是否存在rootkit劫持、库劫持，之后的命令执行操作也最好是通过busybox执行

清理流程

注：命令均在busybox工具下执行

检查修复DNS

挖矿病毒有时候为了防止访问不到矿池或者代理，往往会修改dns记录，故可以先查看“/etc/resolv.conf”文件内容情况

停止计划任务

为了做到持久化控制，在攻击者权限足够的情况下，往往会写计划任务项，达到持续执行挖矿脚本的目的，为了清理过程中不会再都执行挖矿脚本，先把定时任务服务停止。

    chattr -R -ai /etc/ &>/dev/null  #去除文件不可修改权限
    systemctl stop crond #centos为crond，ubuntu为cron
    systemctl stop atd
    pkill crond 
    pkill atd

取消tmp目录的可执行权限

攻击者为了方便，往往会把运行脚本隐藏在tmp目录下，但是我们清理过程中，如果怕误删或者不清楚哪些是恶意文件的话，可以直接取消tmp目录下所有文件的可执行权限

chattr -R -ai /tmp/ /var/tmp/ /dev/shm/
chmod -R -x /tmp/ /var/tmp/ /dev/shm/

服务排查

正常情况下，服务器所起的系统服务是不会变动的，可以排查中挖矿病毒前后系统服务的变动情况，排查确认异常后可将服务停止，并将文件打包移走

最低0.47元/天解锁文章