安全 | 挖礦木馬自助清理手冊(cè)
一、什么是挖礦木馬
部分挖礦木馬還具備蠕蟲化的特點(diǎn)，在主機(jī)被成功入侵之后，挖礦木馬還會(huì)向內(nèi)網(wǎng)滲透，并在被入侵的服務(wù)器上持久化駐留以獲取最大收益。
挖礦木馬的整體攻擊流程大致如下圖所示：
二、挖礦木馬中招特征
挖礦木馬會(huì)在用戶不知情的情況下利用主機(jī)的算力進(jìn)行挖礦，最明顯的特征就是主機(jī)的CPU被大量消耗，查看云主機(jī)CPU占用率的方法有兩種：
如下圖所示，通過執(zhí)行top命令，即可在返回結(jié)果中看到當(dāng)時(shí)系統(tǒng)的CPU占用率。
如果云主機(jī)CPU占用率居高不下，那么主機(jī)很有可能已經(jīng)被植入了挖礦木馬，會(huì)影響服務(wù)器上的其他應(yīng)用的正常運(yùn)行，需要立刻上機(jī)排查。
三、清理挖礦木馬
部分帶有蠕蟲功能的挖礦木馬在取得主機(jī)的控制權(quán)后，會(huì)繼續(xù)對(duì)公網(wǎng)的其他主機(jī)，或者以當(dāng)前主機(jī)作為跳板機(jī)對(duì)同一局域網(wǎng)內(nèi)的其他主機(jī)進(jìn)行橫向滲透，所以在發(fā)現(xiàn)主機(jī)被植入挖礦木馬后，在不影響業(yè)務(wù)正常運(yùn)行的前提下，應(yīng)該及時(shí)隔離受感染的主機(jī)，然后進(jìn)行下一步分析和清除工作。
騰訊云主機(jī)可以通過設(shè)置安全組隔離主機(jī)，具體參考如下鏈接：https://cloud.tencent.com/document/product/215/20089
挖礦木馬不僅會(huì)連接礦池，還有可能會(huì)連接黑客的C2服務(wù)器，接收并執(zhí)行C2指令、投遞其他惡意木馬，所以需要及時(shí)進(jìn)行網(wǎng)絡(luò)阻斷。
（1）檢查主機(jī)防火墻當(dāng)前生效的iptables規(guī)則中是否存在業(yè)務(wù)范圍之外的可疑地址和端口，它們可能是挖礦木馬的礦池或C2地址
（2）從iptables規(guī)則中清除可疑地址和端口
（3）阻斷挖礦木馬的網(wǎng)絡(luò)通信
3清除計(jì)劃任務(wù)
大部分挖礦木馬會(huì)通過在受感染主機(jī)中寫入計(jì)劃任務(wù)實(shí)現(xiàn)持久化，如果僅僅只是清除挖礦進(jìn)程，無法將其根除，到了預(yù)設(shè)的時(shí)間點(diǎn)，系統(tǒng)會(huì)通過計(jì)劃任務(wù)從黑客的C2服務(wù)器重新下載并執(zhí)行挖礦木馬。
挖礦木馬常見的計(jì)劃任務(wù)通常是下載并執(zhí)行sh腳本，如下圖所示:
可以通過執(zhí)行如下命令查看是否存在可疑定時(shí)任務(wù)，若有，則先保存相關(guān)記錄用于后續(xù)分析，再進(jìn)行刪除：
查看系統(tǒng)當(dāng)前用戶的計(jì)劃任務(wù)：
查看系統(tǒng)特定用戶的計(jì)劃任務(wù)：
查看其他計(jì)劃任務(wù)文件：
除了計(jì)劃任務(wù)，挖礦木馬通過添加啟動(dòng)項(xiàng)同樣能實(shí)現(xiàn)持久化。可以使用如下命令查看開機(jī)啟動(dòng)項(xiàng)中是否有異常的啟動(dòng)服務(wù)。
CentOS7以下版本：
CentOS7及以上版本：
如果發(fā)現(xiàn)有惡意啟動(dòng)項(xiàng)，可以通過如下命令進(jìn)行關(guān)閉：
CentOS7以下版本：
CentOS7及以上版本：
另外，還需要仔細(xì)排查以下目錄及文件，及時(shí)刪除可疑的啟動(dòng)項(xiàng)：
排查的時(shí)候，可以按照文件修改時(shí)間來排序，重點(diǎn)排查近期被創(chuàng)建服務(wù)項(xiàng)。如下圖所示，系統(tǒng)近期被創(chuàng)建了一個(gè)名為bot.service的服務(wù)，該服務(wù)在系統(tǒng)啟動(dòng)時(shí)會(huì)啟動(dòng)/etc/kinsing這個(gè)木馬文件，需要關(guān)閉bot服務(wù)，并刪除/etc/kinsing文件。
檢查/etc/ld.so.preload（該文件默認(rèn)為空），清除異常的動(dòng)態(tài)鏈接庫(kù)?？梢詧?zhí)行`> /etc/ld.so.preload`命令進(jìn)行清除。
挖礦木馬通常還會(huì)在~/.ssh/authoruzed_keys文件中寫入黑客的SSH公鑰，這樣子就算用戶將挖礦木馬清除得一干二凈，黑客還是可以免密登陸該主機(jī)，這也是常見的保持服務(wù)器控制權(quán)的手段。
排查~/.ssh/authorized_keys文件，如果發(fā)現(xiàn)可疑的SSH公鑰，直接刪除。
（1）清除挖礦進(jìn)程
挖礦木馬最大的特點(diǎn)就是會(huì)在用戶不知情的情況下，利用主機(jī)的算力進(jìn)行挖礦，從而消耗主機(jī)大量的CPU資源，所以，通過執(zhí)行如下命令排查系統(tǒng)中占用大量CPU資源的進(jìn)程。
確認(rèn)相關(guān)進(jìn)程為挖礦進(jìn)程后，按照如下步驟將其清除：
獲取并記錄挖礦進(jìn)程的文件路徑：
殺死挖礦進(jìn)程：
刪除挖礦進(jìn)程對(duì)應(yīng)的文件
（2）清除其它相關(guān)惡意進(jìn)程
惡意進(jìn)程與外部的C2服務(wù)器進(jìn)行通信時(shí)，往往會(huì)開啟端口進(jìn)行監(jiān)聽。執(zhí)行如下命令，查看服務(wù)器是否有未被授權(quán)的端口被監(jiān)聽。
若有未授權(quán)進(jìn)程，按照如下步驟將其清除：
獲取并記錄未授權(quán)進(jìn)程的文件路徑：
殺死未授權(quán)進(jìn)程：
刪除未授權(quán)進(jìn)程對(duì)應(yīng)的文件
還可以通過如下命令排查近期新增的文件，清除相關(guān)木馬
對(duì)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)排查和安全加固，避免挖礦木馬卷土重來，詳情可參考如下鏈接：https://cloud.tencent.com/document/product/296/9604
四. 常見問題
很多用戶會(huì)反饋挖礦木馬老是清理不干凈，明明已經(jīng)Kill了進(jìn)程，刪除了木馬文件，沒過多久，CPU占用率又上來了。究其根本，還是因?yàn)榍宄貌粔驈氐?。大部分用戶都只是Kill掉挖礦進(jìn)程和對(duì)應(yīng)文件，卻沒有清理計(jì)劃任務(wù)和守護(hù)進(jìn)程。
一般建議先清除計(jì)劃任務(wù)、啟動(dòng)項(xiàng)、守護(hù)進(jìn)程，再清除挖礦進(jìn)程和其他惡意進(jìn)程。
如下圖所示，未知進(jìn)程kinsing監(jiān)聽本地31458端口，非常可疑，可通過如下方法判定：
（1）執(zhí)行`ls -al /proc/$PID/exe`確認(rèn)可疑進(jìn)程對(duì)應(yīng)的文件；
（2）若文件未被刪除，則直接上傳文件到Virustotal進(jìn)行檢測(cè)，或者計(jì)算出文件對(duì)應(yīng)的md5，使用md5去Virustotal進(jìn)行查詢；若文件已被刪除，可執(zhí)行`cat /proc/$PID/exe > /tmp/t.bin`將進(jìn)程dump到特定目錄，再上傳文件到Virustotal或者計(jì)算dump文件對(duì)應(yīng)的md5到Virustotal進(jìn)行查詢。如果有多款殺毒引擎同時(shí)檢出，那基本可以判定該進(jìn)程為惡意進(jìn)程。
Virustotal地址：https://www.virustotal.com/gui/s
（1）top源文件被篡改，惡意進(jìn)程信息被過濾后返回
https://blog.csdn.net/chenmozhe22/article/details/112578057
（2）篡改預(yù)加載so文件，ls、top、ps等命令已經(jīng)被木馬的動(dòng)態(tài)鏈接庫(kù)劫持，無法獲得木馬進(jìn)程相關(guān)的信息
通過執(zhí)行如下命令即可復(fù)原：
【相關(guān)文章】
https://cloud.tencent.com/developer/article/1744547
（3）通過其他未知手段篡改系統(tǒng)命令
可分別嘗試如下兩種方案解決：
i.從其他相同版本系統(tǒng)中拷貝命令源文件到當(dāng)前系統(tǒng)中進(jìn)行覆蓋；可使用uname -a命令查看當(dāng)前系統(tǒng)版本；
ii.或者安裝busybox來對(duì)系統(tǒng)進(jìn)行排查。
busybox是一個(gè)集成了300多個(gè)最常用Linux命令和工具的軟件，可以使用busybox替代系統(tǒng)命令對(duì)系統(tǒng)進(jìn)行排查；
【相關(guān)文章】
https://www.cnblogs.com/angryprogrammer/p/13456681.html
文章轉(zhuǎn)載：烏雲(yún)安全
（版權(quán)歸原作者所有，侵刪）