记一次对Linux挖矿病毒kswapd0的分析和清除

2020-12-29 14:50 |来自: 互联网 5606 0

摘要: 一个朋友的Linux服务器早上呼我，说服务器好卡，让我帮忙看下，于是我就通过给的宝塔，登陆下服务器，然后习惯性top下，好家伙，kswapd0 跑的死死的，难怪卡。那这个 kswapd0 是啥玩意呢？还是root级的，pid是 2743 ...

关键词： 病毒 root configrc 密码目录任务 perl 服务器端口

一个朋友的Linux服务器早上呼我，说服务器好卡，让我帮忙看下，于是我就通过给的宝塔，登陆下服务器，然后习惯性top下，好家伙，kswapd0 跑的死死的，难怪卡。

那这个 kswapd0 是啥玩意呢？还是root级的，pid是 2743，通过 ll /proc/2743，我们看进程里啥玩意。看到了执行了一个 /root/.configre/a/kswapd0 ，这个就太形迹可疑了，这完全是病毒程序呀，还在/root/.configrc/ 目录里。

我们查看下，这个查看下这个进程是否有对外连接端口，netstat -anltp|grep kswapd0，显示IP是的 45.9.148.117的

查询了一下，是一个荷兰的IP地址：

习惯的再看了下计划任务，crontab -e，好家伙，计划任务里面也不少。tmp目录也有。

==， last，我们看下安全日志有无无异常

less /var/log/secure|grep 'Accepted'

查了一个ip，85.25.197.79 85.203.33.49 ，一个法国，一个德国的。应该都是代理啥的吧。

看来是被入侵无疑了，还用root ssh上来的。基本上的root密码太简单了，比如我这朋友设置的密码就是类似于 1q2w3e.. 类似这样的，这些扫描病毒常用字段都是有的，赶紧改了

病毒结构

病毒结构，我看到的是这样的 (经过网上查证，该病毒种类繁多，文件位置基本不一样)

/root/.configrc/*			病毒所在目录
/root/.ssh/					病毒公钥
/tmp/.X25-unix/.rsync/*		病毒运行缓存文件
/tmp/.X25-unix/dota3.tar.gz	病毒压缩包
/root/.configrc/a/kswapd0  	病毒主程序
==========病毒相关计划任务==========
1 1 */2 * * /root/.configrc/a/upd>/dev/null 2>&1
@reboot /root/.configrc/a/upd>/dev/null 2>&1
5 8 * * 0 /root/.configrc/b/sync>/dev/null 2>&1
@reboot /root/.configrc/b/sync>/dev/null 2>&1
0 0 */3 * * /tmp/.X25-unix/.rsync/c/aptitude>/dev/null 2>&1
====================================