一次挖矿病毒的处理过程复盘( 二 ) _挖矿病毒

文章插图

(图片可点击放大查看)
检查异常进程ps -ef

文章插图

(图片可点击放大查看)
检查admin用户的crontabsu -admin crontab -l

文章插图

(图片可点击放大查看)
ps -ef | grep admin异常进程都是admin用户在运行

文章插图

(图片可点击放大查看)

再次杀异常进程

ps -ef | grep "dbused"| awk '{print $2}'| xargs killps -ef | grep "bashirc"| awk '{print $2}'| xargs killps -ef | grep admin | grep giveme | awk '{print $2}'| xargs kill

文章插图

(图片可点击放大查看)

删掉恶意程序文件

rm -rf bashirc dbused .lock .pwn .python

文章插图

【一次挖矿病毒的处理过程复盘】(图片可点击放大查看)
admin用户的定时任务清理

文章插图

(图片可点击放大查看)
.bash_profile 文件清理
cat /home/admin/.bash_profile

文章插图

(图片可点击放大查看)
10、也学习挖矿病毒的套路进行抑制如果再观察top CPU还是100%的话可能就要献上大招了
1）vi /etc/hosts 解析成不通的地址

文章插图

文章插图

(图片可点击放大查看)
2）定时任务杀进程并清理
脚本如下

/opt/virus_clear.sh#!/bin/bashLOCK=/var/log/virus_clear.logecho "清理日期:" >> ${LOCK} 2>&1echo `date '+%Y-%m-%d_%T'`>> ${LOCK} 2>&1echo "=================Virus Clear Start===============================">> ${LOCK} 2>&1ps -ef | grep "dbused"| awk '{print $2}'| xargs kill >> ${LOCK} 2>&1ps -ef | grep "bashirc"| awk '{print $2}'| xargs kill >> ${LOCK} 2>&1ps -ef | grep admin | grep giveme | awk '{print $2}'| xargs kill >> ${LOCK} 2>&1rm -rf /tmp/bashirc /tmp/dbused /tmp/.lock /tmp/.pwn /tmp/.python >> ${LOCK} 2>&1echo > /var/spool/cron/admin >> ${LOCK} 2>&1

记得脚本添加执行权限
crontab -e设置定时任务