查看: 1008|回复: 1

服务器CPU100%, 杀wnTKYg病毒

[复制链接]

0

威望

1903

金钱

2482

积分

金牌会员

Rank: 6Rank: 6

积分
2482

活跃会员热心会员推广达人宣传达人灌水之王突出贡献优秀版主荣誉管理论坛元老

发表于 2017-10-10 17:57:45 | 显示全部楼层 |阅读模式
wnTKYg同minerd和AnXqV两个一样都是挖矿程序。
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!网上查了相关的资料,我们服务器的情况如上图类似。
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!  杀wnTKYg病毒分两步,第一是找到它的来源,切断入口,第二步,找到它的守护进程并杀死,然后再去杀死病毒进程,有的守护进程很隐蔽,唤醒病毒之后,自动消亡,这时候top就看不到了,要留心。
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!  由于工作需要,我由一个专业java开发工程师,渐渐的也成为了不专业的资深的运维工程师了。最近项目在做性能测试,发现CPU使用率异常,无人访问时CPU也一直保持75%,然后在xShell上top了一下,发现wnTKYg这个程序CPU占用率300%,
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!清除wnTKYg <wbr>这个挖矿工木马的过程讲述      
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!很明显是病毒进程,下意识的把它kill了,但是一分钟之后又自动重启了,于是百度了一下,发现这个东西叫做挖矿工,简单的说,就是别人用你的服务器去做它自己的事,然后赚钱。
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享! 知道wnTKYg是什么鬼之后,我不急着杀死它,先百度了一下它怎么进来的,百度上关于它的帖子特别少,说是钻了redis的空子进来的,我基本上赞同这个说法,第一步就是对redis进行了配置上的修改:① 把默认的端口号6379给改了② 把密码改的更复杂了③ 把
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!bind xx.xx.x.x xx.xx.xx.xx改了
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!修改redis是防止这熊孩子再进来,
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!第二步
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!就是把已经入驻的木马杀死,它不仅使用我的服务器,它还登录我的账号,所以查看了
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享! /root/.ssh 下的文件,
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!在/root/.ssh/known_hosts中发现了我不认识的IP,绝对有问题,于是干脆把
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享! /root/.ssh 下的文件都删了,省事了。       第三步就是要找到所有关于病毒的文件, 执行命令  find / -name wnTKYg*,只有/tmp下有这个文件,删了,然后就去kill wnTKYg进程,你以为这样它就可以死了吗?Never!一分钟之后它又复活了,我猜测一定有守护进程在唤醒它,于是我再kill  然后top观察进行变化,终于被我发现了,有一个/tmp/ddg.1007
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!进程很可疑,于是百度这个东东验证了一下,果然,就是
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!挖矿工的守护进程
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!,用
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!ps -aux|grep ddg
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!命令把所有ddg进程找出来杀掉,并
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!删除/tmp目录下的所有的对应ddg
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!文件,至此,病毒被解决了,异地登录,安全扫描什么的也被我解决了。
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!很多哥们也遇到了这个问题,加了我好友,并且描述了他们的一些情况,我会把他们的改进和补充也写在此贴里,有的哥们会有个定时任务下载这些东西,目录
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享! /var/spool/cron,记得留意这个文件夹,如果遇到,就把它干掉。
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!安全问题依然严峻,于是找了一家安全公司--安全狗咨询了下相关的安全业务,发现蛮贵的,都是万开头的,而且我也不知道他们水平怎么样,于是把我遇到的问题跟业务员说了,看看他们怎么解决,怎么收费,谈判了一下午,定价3500,没的再低了,
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!哎,还是我好,又为公司省了3500。         因为发了这篇帖子,一位和我情况差不多的网友也提供了一种解决方案,我把他的也贴进来与大家分享谢谢这位网友:
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!首先关闭挖矿的服务器访问
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!# iptables -A INPUT -s  xmr.crypto-pool.fr -j DROP
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!# iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!然后删除yam 文件
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!用find / -name yam查找yam 文件
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!之后 找到wnTKYg 所在目录 取消掉其权限
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!并删除 然后再取消掉 tmp 的权限并删除
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!之后 pkill
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!wnTKYg就OK了。
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!当然,我也咨询了阿里的解决方案,有两个,①找第三方安全公司杀②把数据备份一下,重置系统 。  
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!CPU瞬间下来了!!!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!
乡知网,商道、电商、乡村知识分享! 乡知网,商道、电商、乡村知识分享!乡知网,商道、电商、乡村知识分享!

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x

0

威望

1903

金钱

2482

积分

金牌会员

Rank: 6Rank: 6

积分
2482

活跃会员热心会员推广达人宣传达人灌水之王突出贡献优秀版主荣誉管理论坛元老

 楼主| 发表于 2017-11-18 21:51:47 | 显示全部楼层
尝试pkill -9 wnTKYg杀死进程,发现没过多久又出现了
乡知网,商道、电商、乡村知识分享! 感觉好恶心,中毒原因应该是redis没有设密码或者是弱口令,先关了redis防止再次中招
乡知网,商道、电商、乡村知识分享! systemctl stop redis
乡知网,商道、电商、乡村知识分享! 接下来
乡知网,商道、电商、乡村知识分享! 如果/root/.ssh/下有异常文件或记录:rm -rf  /root/.ssh/*
乡知网,商道、电商、乡村知识分享! 查找wnTKYg进程目录:find / -name wnTKYg*
乡知网,商道、电商、乡村知识分享! 删除wnTKYg进程文件:rm -rf  /tmp/wnTKYg
乡知网,商道、电商、乡村知识分享! 查找wnTKYg守护进程目录:ps -aux|grep ddg
乡知网,商道、电商、乡村知识分享! 删除wnTKYg守护进程文件,文件后缀可能不同:rm -rf  /tmp/ddg.1009
乡知网,商道、电商、乡村知识分享! 删除可疑文件:
乡知网,商道、电商、乡村知识分享! rm -rf /tmp/Aegis-\<Guid5A2C30A2−A87D−490A−9281−6765EDAD7CBA\>
乡知网,商道、电商、乡村知识分享! rm -rf /usr/local/aegis/Aegis-\<Guid5A2C30A2−A87D−490A−9281−6765EDAD7CBA\>
乡知网,商道、电商、乡村知识分享! 删除wnTKYg定时任务:rm -rf /var/spool/cron
乡知网,商道、电商、乡村知识分享! 检查是否存在残留文件并清理...
乡知网,商道、电商、乡村知识分享! 杀进程:
乡知网,商道、电商、乡村知识分享! pkill -9 wnTKYg
乡知网,商道、电商、乡村知识分享! pkill -9 ddg.1009
乡知网,商道、电商、乡村知识分享! ps x 或 top 查看是否还有木马进程
乡知网,商道、电商、乡村知识分享! 到此应该已经清理完毕
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

推荐阅读 More>
广告位
快速回复 返回顶部 返回列表