一个Linux挖矿的简单处理

由于平时很少接触linux的病毒现场,特意找到了一个之前处理过的现场进行复现,算是对linux命令的掌握以及对linux病毒的了解

执行挖矿病毒

使用top命令,站cpu占用率

一个Linux挖矿的简单处理_第1张图片

可以看到PID为28842的进程占用已经为97.3%

然后使用netstat -antp看网络查看网络连接

一个Linux挖矿的简单处理_第2张图片

经过搜索,这两个ip都为矿池ip,到这就可以判断这是一个挖矿病毒了

cd /proc/28842进入进程号目录

ls -al查看该文件所在的位置

一个Linux挖矿的简单处理_第3张图片

知道挖矿文件所在目录了,使用kill -9 28842结束掉挖矿进程

打开tmp目录,讲文件取出,用ida分析

一个Linux挖矿的简单处理_第4张图片

说来也巧,我在搜索ip的时候,看到了这样一份情报

疑似挖矿但未找到配置文件

https://x.threatbook.cn/nodev4/vb4/article?threatInfoID=2314

发情报的人没有找到配置文件所在,其实配置文件就在提取出来的文件种,用ida打开,找到配置文件数据

一个Linux挖矿的简单处理_第5张图片
这就算是一次简单的处理,具体文件就不深入分析了

IOCs:

SHA1:

f29e46fe42e74cbb1c13839e5462a4d6fe26b220

e4bf1914ce19aa21bc9af6d2966296b84185fd0c

矿池地址:

xmr-eu1.nanopool.org

178.170.189.5

91.215.169.111

钱包地址:
46V5WXwS3gXfsgR7fgXeGP4KAXtQTXJfkicBoRSHXwGbhVzj1JXZRJRhbMrvhxvXvgbJuyV3GGWzD6JvVMuQwAXxLZmTWkb

你可能感兴趣的:(应急响应)