pamdicks挖矿病毒处理

本次服务器被入侵，被人植入了密钥文件，导致入侵者可以免密登录服务器，在redis中看到了一个很奇怪的key，它的value的意思是一个定时任务通过curl下载某个sh脚本，并执行，看到网上的一位博主，总结的很好，它总结的原因如下。比较有名的挖矿蠕虫病毒，攻击手段为通过redis感染服务器，如果redis的端口为默认的6379且暴露在公网上，且没有设置客户端连接密码认证，很容易感染，这个病毒是分级别的，好在我遇到的是比较简单的，解决方法如下。.相关的代码，查看进程发现果然多了一个redis-cli的进程。

最近安装redis的时候不慎忘记了设置redis密码，导致6379端口受到挖矿病毒攻击，伪造公钥进行免密登录，种下了挖矿木马，经过四个小时的对线终于把病毒干掉，世界清静了。

根据隐藏进程以及隐藏文件不可见的特性，进行搜索分析，得出系统内核被篡改，将文件名称和进程信息给屏蔽。以后得加强注意这三方面的安全问题，本次木马程序并未涉及文件防篡改配置，不然也只能重装系统进行处理了。开发使用过程中，发现经常有服务无故关闭，登录服务器经检查，发现CPU使用率达到100%。删除原文件，并创建一个顶包空文件，然后使用系统chattr对其进行锁定禁止修改。及文件删除，但是重启后又自行恢复，还有其他机器，也经过一夜，死灰复燃了。用户直接启动，导致内核被修改，问题难度复杂化。

###故障说明故障环境配置 开发测试服务器(腾讯云)； 系统：centos7 ； 程序启动模式：root用户直接启动； 网络环境：所有端口全部对外开放(使用仅屏蔽部分关键端口ssh,redis,rabbitmq等)； 为方便服务器间数据传输方便，采用了ssh互信方式。故障现象 开发使用过程中，发现经常有服务无故关闭，登录服务器经检查，发现CPU使用率达到100%。 在检测异常进程中，未发现CPU使...

分析teamTNT团队Linux挖矿木马执行过程与防范 公司需要扩展海外业务，需要有一台海外云服务器。当我们把应用部署上去时的第二天所有应用down掉了，然后发现ssh连接服务器特别慢。好不容易连接上了执行一下free -h 发现内存占用99%,反手一个top，等了大约2分钟出来结果。 问题排查 查看当前内存：free -h 发现内存占用几乎达到98%。 查看当前进程：top等了大约2分钟出来结果。竟然有7000多个tasks,load average: 459.78, 584.52, 387.07，这明

linux挖矿病毒已解决

原文章:https://s.tencent.com/research/report/1265.html 该挖矿木马具备较强的自动化攻击和扩散感染能力； l攻击成功后的恶意脚本会关闭linux防火墙，使系统安全性进一步下降； l会禁用或卸载多款云主机安全软件； l从比特币交易记录中动态获取C2地址； l会清除竞品挖矿木马，杀死CPU占用超过40%的进程； l依次下载挖矿程序、守护程序和攻击程序； l通过通过安装crontab任务、写入SSH authorized_key...

概述 全文参见《近期基于Redis蜜罐捕获的恶意挖矿活动》 链接地址：https://www.freebuf.com/articles/system/256715.html 这里是搭建了一个蜜罐，等待攻击者入瓮，而实际在生产环境中，因为Redis弱密码的存在，导致自己的服务器成为了攻击者。 攻击者通过redis的默认端口，弱口令密码，注入到redis服务器内部，大概有4个Back1-4的crontab进程。 如下图，图来自FreeBUF，为借图： 对应下载文件的链接地址：http://d..

前一阵子腾讯云搞活动，哈C我买了个轻量级的服务器，部署了自己的网站。 一切都井然有条的进行中。 直到某天清晨，我一如既往的打开我的网站，发现网站竟然打不开了。 于是我进行了一系列的排查。 1、排查日志 第一时间想到的就是登录服务器，查看异常登录的日志。 好家伙，我发现服务器竟然无法登录了！ 1）VNC登录服务器 第一时间想到的应该是密码登录被禁用了。 于是我在腾讯云后台使用VNC登录。 无法通过客户端SSH远程登录时，可以通过VNC登录来登录服务器. 2）查看sshd_config文件 查看了/et

本文方法来自网络：Sky原创本文测试环境为：RHEL 6.1 X64一.查看系统pam版本：[root@redkey ~]# rpm -qa | grep pam pam-1.1.1-4.el6.x86_64二.下载对应版本的pam模块http://www.linux-pam.org/library/三.解压&修改pam_unix_auth.c文件tar -xzvf ...

top，看哪个占用高 然后去etc找update.sh 挨个chattr -i ｛文件名｝ 然后chmod 000 ｛文件名｝ 最后 rm -r {文件名} chmod 777 /etc/sysupdate chattr +i /etc/sysupdate chmod 777 /etc/networkservice chattr +i /etc/networkservice chmod 777 /etc/config.json chattr +i /...

Linux中pam模块pam简介 Linux-PAM(linux可插入认证模块)是一套共享库，使本地系统管理员可以随意选择程序的认证方式。换句话说，不用重新编译一个包含PAM功能的应用程序，就可以改变它使用的认证机制。这种方式下,就算升级本地认证机制,也不用修改程序. PAM使用配置/etc/pam.d/下的文件,来管理对程序的认证方式.应用程序 调用相应的配置文件,从而调用本地的认证模块.模块放

本文介绍了Linux系统管理中的三个重要工具：systemctl用于管理系统服务，包括启动/停止服务和设置开机自启；journalctl用于查看systemd日志，支持按服务筛选和实时跟踪；以及基本日志查看和端口占用检查方法。文中还讲解了.service文件的存放位置差异，提供了常用命令参考和实用技巧，如查看Nginx进程启动时间、日志关键字搜索等。这些工具和技巧能有效帮助管理员进行日常系统维护和故障排查。

NAT转化。