服务器被植入挖矿病毒解决办法

2017-8-28 15:50:04 5244

0 服务器被植入挖矿病毒解决办法上午重启服务的时候，发现程序启动死慢，用top命令查看了一下，cpu被占用接近100%，所以无法运行新程序，通过top命令然后输入P，就能看到有两个程序几乎占用了所有的CPU，占用率为700%左右，程序名称为：minerd和AnXqV两个，通过搜索知道是挖矿程序，通过kill命令及pkill命令是无法直接解决的，找到了一个教程，http://www.cnblogs.com/zhouto/p/5680594.html,参考的这个进行的处理，基本上搞定了，不过里面有很多细节的地方这里记录下来。 1、关闭访问挖矿服务器的访问： iptables -A INPUT -s xmr.crypto-pool.fr -j DROP 和 iptables -A OUTPUT -d xmr.crypto-pool.fr -jDROP 2、找到minerd程序： find / -name minerd* 发现程序在/opt下面，同时发现另外的一个异常文件 KHK75NEOiq33和minerd 3、去掉执行权限 chmod -x KHK75NEOiq33 minerd 4、杀掉进程，kill或pkill随你喜欢 pkill minerd pkill AnXqV 5、清除定时任务： systemctl stop crond 我们的系统因为没有其他定时任务，所以可以直接这样，如果有需要自己手动备份自己的定时任务，然后清理掉其他的定时任务，情景分析后处理 6、清除文件除了opt下面的两个异常文件需要清除，/tmp文件夹下也有文件需要清除，Aegis- AnXqV ddg.217 ddg.218 ddg.219 duckduckgo.12.log duckduckgo.17.log duckduckgo.18.logduckduckgo.19.log 这里的文件有个duckduckgo的，大约是FQ用的搜索对应的进程有ddg.217/218/219 7、清除未知的授权进入 ~/.ssh/目录，发现多个异常文件，包括authorized_keys、known_hosts等，需要移除authorized_keys中的未知授权，这里可以看到有REDIS000…的授权key，我们自己没有设置过，所以直接删除之 8、元凶分析有说是redis低版本存在的一个漏洞，有人利用这个漏洞提升权限，然后放置了挖矿工具，所以就将默认的端口改了，密码改了，重新启动了服务，基本上能过一段时间了 0
2017-8-28 15:50:04　　评论淘帖0 举报相关推荐 • 服务器被攻击的解决办法 3787 • 服务器被攻击之后的解决办法 897 • 网站服务器常见故障解决办法 1104 • 海外大带宽服务器连接失败解决办法 211 • 服务器宕机出现的原因与解决办法 2443 • 网站被攻击导致服务器无法访问的终极解决办法 2417 • 服务器被入侵挖矿的过程与解决方法 6789 • 测试echo服务器lwip时出现问题的解决办法？ 1831 • 警告！win10激活背后暗藏危机被迫被植入挖矿病毒 5911 • 如何防止电脑被挖矿病毒攻击 10608 1 个讨论