攻击者通过Redis未授权访问,写入定时任务,执行挖矿程序。...tmp/conn /tmp/conn: PNG image data, 256 x 256, 8-bit/color RGBA, non-interlaced 首先下载了一个图片,然后通过dd提取出来挖矿程序...[root@server120 tmp]# file /tmp/conns /tmp/conns: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux...这种通过Redis未授权拿服务器挖矿的情况很常见。 处理过程 1)redis增加认证,清空/var/spool/cron/root和authorized_keys。
文章目录 中毒特征磁盘cpu 跑满 100% 如何处理 反复发作 中毒特征磁盘cpu 跑满 100% 如何处理 电脑中了挖矿病毒 ps -aux | grep kinsing root 19447
记一次挖矿程序入侵以及解决实操! 1,过程记录 系统被挖矿程序入侵,导致系统CPU飙升。kill掉进程后自动重启。
Linux清理挖矿程序@bug Linux清理挖矿程序 最近服务器经常被挖矿,一些经验 1....找到挖矿程序 挖矿程序跑起来几乎占满了所有的CPU,以及GPU,用watch -n1 nvidia-smi可以实时看到挖矿程序的PID号,此时不能用kill -9 PID号来进行清除,会发现它换一个PID...使用top可以看到挖矿程序进程名字xxx(command一行),ps aux|grep xxx 或者ls -l /proc/{PID号}/exe 找到病毒程序的路径位置 2.
Linux被kdevtmpfsi挖矿病毒入侵 一....错误信息 二.解决问题 1.首先停掉kdevtmpfsi的程序 2.删除Linux下的异常定时任务 3.结束kdevtmpfsi进程及端口占用 4.删除掉kdevtmpfsi的相关文件 三.怎么预防处理这个病毒...1.首先停掉kdevtmpfsi的程序 ps aux 找到kdevtmpfsi的进程 删除掉与kdevtmpfsi相关的进程 kill -9 20267 kill -9 20367 2.删除Linux
发布者:全栈程序员栈长,转载请注明出处:https://javaforall.cn/149135.html原文链接:https://javaforall.cn
0x00 前言 随着虚拟货币的疯狂炒作,利用挖矿脚本来实现流量变现,使得挖矿病毒成为不法分子利用最为频繁的攻击方式。...新的挖矿攻击展现出了类似蠕虫的行为,并结合了高级攻击技术,以增加对目标服务器感染的成功率,通过利用永恒之蓝(EternalBlue)、web攻击多种漏洞(如Tomcat弱口令攻击、Weblogic WLS...组件漏洞、Jboss反序列化漏洞、Struts2远程命令执行等),导致大量服务器被感染挖矿程序的现象 。...D、漏洞修复 升级struts到最新版本 0x03 防范措施 针对服务器被感染挖矿程序的现象,总结了几种预防措施: 1、安装安全软件并升级病毒库,定期全盘扫描,保持实时防护 2、及时更新 Windows
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。...> busybox top [image-20210629223207356] 终于看到了这个kthreaddi进程,上网一查这个东西叫门罗币挖矿木马,伪装的实现是太好了和系统中的正常进程kthreadd...去内核数据目录找找看 > ls -al ll /proc/6282 6282是刚才那个挖矿进程 [image-20210629224536853] 原来在 tmp下面有文章 ,但是被 deleted...pid reboot重启 总结 本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。...原文链接:https://rumenz.com/rumenbiji/linux-kthreaddi.html
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。...> busybox top image-20210629223207356 终于看到了这个kthreaddi进程,上网一查这个东西叫门罗币挖矿木马,伪装的实现是太好了和系统中的正常进程kthreadd...清理门罗币挖矿木马 常规方式先试试 > kill -9 6282 过一会又起来了,说明有守护进程 检查系统中的定时任务 > crontab -l 0 * * * * /tmp/sXsdc 发现一个这...去内核数据目录找找看 > ls -al ll /proc/6282 6282是刚才那个挖矿进程 image-20210629224536853 原来在 tmp下面有文章 ,但是被 deleted...pid reboot重启 总结 本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件,里面就有我需要的top命令。...> busybox top 图片 终于看到了这个kthreaddi进程,上网一查这个东西叫门罗币挖矿木马,伪装的实现是太好了和系统中的正常进程kthreadd太像了。...去内核数据目录找找看 > ls -al ll /proc/6282 6282是刚才那个挖矿进程 图片 原来在 tmp下面有文章 ,但是被 deleted,不管先去看看 > /tmp/.dHyUxCd...本次服务器被挖矿,有可能是docker没有TLS通讯加密,也有可能是redis的弱密码,被入侵。...原文链接:https://rumenz.com/rumenbiji/linux-kthreaddi.html
分享一次Linux系统杀毒的经历,还有个人的一些总结,希望对大家有用。 进程占CPU 700%,进程名字是类似XY2Arv的6位随机大小写字母+数字的字符串。...最终发现是一个叫systemd或trump的病毒,是一个挖矿的病毒,在挖一种叫门罗币(XMR)的数字货币。...authotrized_keys 文件中,进而可以直接登录目标服务器;如果Redis服务是以root权限启动,可以利用该问题直接获得服务器root权限 整个入侵流程大概是包含以下几个环节: 1、扫描开放6379端口的Linux...文件里的利用命令将Redis的数据文件修改为/var/spool/cron/root,然后通过在Redis中插入数据,将下载执行脚本的动作写入crontab任务 3、通过脚本实现以上的相关行为,完成植入并启动挖矿程序
geth –port 33333 –rpc –rpcapi eth –rpcaddr 192.168.10.176 –rpcport 8888 console 2 启动ethminer(挖矿软件...127.0.0.1:1234 –opencl-device 0 –opencl-platform 1 注意:只需要执行以上两步操作,不要添加其他参数或者启动后执行miner.start()操作 -G:启动GPU挖矿...(通过opencl调用GPU挖矿) -P:geth地址 –opencl-device x :x代表启动的Gpu数量,默认全部启动 注意:启动GPU挖矿需要geth节点设置为挖矿节点才可以启动挖矿,并且geth...的disk IO速度应该足够快,否则数据同步速度不能跟上主网区块产生速度,也无法挖矿.
中午登陆linux宝塔发现服务器CPU满了,造成了资源100%繁忙,后来在命令行top一看/tmp目录有个非法二进制文件占用了300%CPU,这种来历不明的二进制吃CPU的程序一般是挖矿恶意进程 ?...断定了确实是挖矿病毒。后来我查看 /var/log/secure发现文件丢失,last命令也不存在,使我察觉到,服务器应该被人非法登陆,注入了这种挖矿病毒。...后来它们把服务器给我解封了,ssh可以使用了,所以我分析我的服务器应该是,被人用来恶意挖矿,华为云后台监测到我的机器做了非法操作,便将我的机器给封了(拉黑了)。
今天来给大家分享下这两天遇到的一个问题,服务器被挖矿了,把我的排查记录分享下,希望能帮到有需要的同学。...问题原因 ---- 多台服务器持续告警CPU过高,服务器为K8s的应用节点,正常情况下CPU使用率都挺低的,通过排查是原因是被挖矿了,下面为定位过程 定位过程 ---- 登陆问题主机10.92.0.X,...阻断挖矿程序链接外网服务(很重要) 在/etc/hosts里增加一条 127.0.0.1 g.upxmr.com 阻断挖矿程序链接外网下载可执行文件,不加了的话干掉服务又会起来(除非把服务器网断了) 2...干掉可疑程序“ata”进程 [root@dtdream-common-prod-nginx-03 ~]# kill -9 70497 再次查看发现cpu使用率降下来了,挖矿程序也没启动了。 ? ?...这次分享希望对也中挖矿程序的同学, 提供一些排查思路
发现了大量类似XMR(门罗币缩写),矿池相关的字符串,无疑就是挖矿软件了。 但是删除重启后,还是会被二次创建。...因为一般挖矿软件都是开源程序,病毒只是给与他特定的参数为病毒作者挖矿。 这时我首先想到去查看有无定时任务。 通过crontab -l查看所有的定时任务。 ?...在 Linux 操作系统的动态链接库加载过程中,动态链接器会读取 LD_PRELOAD 环境变量的值和默认配置文件 /etc/ld.so.preload 的文件内容,并将读取到的动态链接库进行预加载,即使程序不依赖这些动态链接库...——段落引自《警惕利用 Linux 预加载型恶意动态链接库的后门》 查看该文件。 ? 我们尝试删除 ld.so.preload。提示权限不足。 ?...本人Linux苦手,有些地方记录可能不够专业。 行文也有些混乱还请表哥们多多指教,附上相关样本文件。我就不附SHA1了。 解压密码:infected
GitHub 有时比 Google 还有用,如果你不懂如何使用它来挖矿,那你不算一名合格的程序员。...笔者做前端开发这些年,几乎每天都会刷 GitHub,也算是 GitHub 的重度使用者了,其中也掌握了一定的技巧,由此写一下我是如何使用它来挖矿的 ! 笔者博客地址:GitHub[1]。...Star 因为笔者也做过几个开源项目,所以知道 star 数会给作者动力的,越多人点 star ,维护这个开源项目的驱动力就越足。...笔者经常看到不错的、有趣的、有用的,或者现在没用,以后会用到的优秀开源项目,都会 star 一下,当是给这个开源的作者一份鼓励,希望 TA 更好的维护这个开源项目,以后用到的时候可以在 star 过的项目里面找出来...所以你也可以在某些大牛的 star 列表里面找优秀开源项目,比如笔者就 star 了不少优秀的开源项目,如下图。
伴随区块链的火热,越来越多的人加入到挖矿的浪潮中,对于普通小白该如何参与到数字货币的挖矿事业中?不同数字货币采用的挖矿算法和挖矿软件都是怎样的?个人如何选择矿机以及其他的挖矿形式?...以下是柏链道捷CTO、清华大学区块链中心高级工程师康烁给我们带来《基于Linux 的挖矿操作系统》,希望对你有所启发。 ?...整理 | Guoxi 大家好,我是来自柏链道捷的康烁,我今天给大家分享的主题是基于linux的挖矿操作系统,着重给大家讲一些挖矿背后核心的理念,也就是它的共识算法。 什么是挖矿? ?...挖矿操作系统CoinOS ? 前面讲了共识算法,你有什么样的共识算法,就有对应的挖矿算法。最后一页介绍我们自己以前做的小项目,挖矿操作系统CoinOS,这是一个基于linux的U盘操作系统。...这个挖矿系统可以自动地更新挖矿软件。使用时会自动计算当前应该挖哪些币以及对应的挖矿方式,主要还是针对我前面讲的使用GPU挖矿的数字货币。
遇到一台机器偶尔cpu使用率达到80%,触发告警。登录查看后一个sshd2程序导致cpu负载高
通过 google搜索,发现这是挖矿病毒。 ? 排查方法 首先:查看 kdevtmpfsi 进程,使用 ps -ef | grep kdevtmpfsi 命令查看,见下图。 ?...第三步:kill 掉 kdevtmpfsi 守护进程 kill -9 30903 30904,再 killall -9 kdevtmpfsi 挖矿病毒,最后删除 kdevtmpfsi 执行程序 rm -...事后检查 通过 find / -name "*kdevtmpfsi*" 命令搜索是否还有 kdevtmpfsi 文件 查看 Linux ssh 登陆审计日志。
领取专属 10元无门槛券
手把手带您无忧上云