1.3 解决挖矿木马

1.3.1 阻断异常网络通信（非必需）

挖矿木马不仅会连接矿池，还有可能会连接黑客的C2服务器，接收并执行C2指令、投递其他恶意木马，所以需要及时进行网络阻断。

检查主机防火墙当前生效的iptables规则中是否存在业务范围之外的可疑地址和端口，它们可能是挖矿木马的矿池或C2地址

iptables -L -n

从iptables规则中清除可疑地址和端口

vim /etc/sysconfig/iptables

阻断挖矿木马的网络通信

iptables -A INPUT -s 可疑地址 -j DROPiptables -A OUTPUT -d 可疑地址 -j DROP

1.3.2 清除定时任务

查看系统当前用户的计划任务：

crontab -l

查看系统特定用户的计划任务：

crontab -u username -l

查看其他计划任务文件：

cat /etc/crontabcat /var/spool/croncat /etc/anacrontabcat /etc/cron.d/cat /etc/cron.daily/cat /etc/cron.hourly/cat /etc/cron.weekly/cat /etc/cron.monthly/cat /var/spool/cron/在这些文件内，有可疑文件就立即处理掉

但是，很多挖矿木马做的安全措施很到位，不能直接用-e进行处理，即使是root用户也没用权限如果无法删除crontab中的定时任务，且提示chattr不是命令则：

cd /usr/bincp chattr chattr.newchmod u+x chattr.newchattr.new -i chattrrm -rf chattr.newchmod u+x chattrchattr -ai /etc/bin/cron.dchattr -ai /var/spool/cronchattr -ai /var/spool/cron/root#然后执行如下命令进行删除crontab -e

1.3.3 清除启动项

除了计划任务，挖矿木马通过添加启动项同样能实现持久化。可以使用如下命令查看开机启动项中是否有异常的启动服务。

CentOS7以下版本：chkconfig –listCentOS7及以上版本：systemctl list-unit-files

如果发现有恶意启动项，可以通过如下命令进行关闭：

CentOS7以下版本：chkconfig 服务名 offCentOS7及以上版本：systemctl disable 服务名

点击了解开机自启相关命令另外，还需要仔细排查以下目录及文件，及时删除可疑的启动项：

/usr/lib/systemd/system/usr/lib/systemd/system/multi-user.target.wants/etc/rc.local/etc/inittab/etc/rc0.d//etc/rc1.d//etc/rc2.d//etc/rc3.d//etc/rc4.d//etc/rc5.d//etc/rc6.d//etc/rc.d/

排查的时候，可以按照文件修改时间来排序，重点排查近期被创建服务项

1.3.4 清除SSH公钥

挖矿木马通常还会在~/.ssh/authoruzed_keys文件中写入黑客的SSH公钥，这样子就算用户将挖矿木马清除得一干二净，黑客还是可以免密登陆该主机，这也是常见的保持服务器控制权的手段。

排查~/.ssh/authorized_keys文件，如果发现可疑的SSH公钥，直接删除。

注意：需要用lsattr和chattr命令来修改权限，才可以删除

1.3.5 清除木马进程

通过top -c命令确定PID确认相关进程为挖矿进程后，按照如下步骤将其清除：

获取并记录挖矿进程的文件路径：ls -l /proc/$PID/exe杀死挖矿进程：kill -9 $PID

删除挖矿进程对应的文件，倘若不能删除，就需要用chattr命令处理

1.4 其他常见问题

1.4.1 清除木马后又100%

明明刚刚清理了挖矿木马，没过多久就又卷土重来？明明已经Kill了进程，删除了木马文件，没过多久，CPU占用率又上来了。究其根本，还是因为清除得不够彻底。大部分都只是Kill掉挖矿进程和对应文件，却没有清理计划任务和守护进程。

一般建议先清除计划任务、启动项、守护进程，再清除挖矿进程和其他恶意进程。

1.4.2 CPU占用100%却看不到进程

为什么系统CPU占用率接近100%，却看不到是哪个进程导致的？如所示，系统CPU占用率接近100%，却看不到是哪个进程导致的，这种情况一般是因为系统命令被木马篡改了，从而隐藏了木马进程的踪迹，让用户无法进行溯源分析。

通过执行如下命令即可复原：

rm -rf /usr/bin/top && mv /usr/bin/top.original /usr/bin/top

如果在/usr/bin目录下发现还要其他的*.original，都可以执行上述命令执行，此次受木马篡改的有top，ps，pstree三个命令

参考链接：https://cloud.tencent.com/developer/article/1834731?sharedUid=10313019&shareByChannel=link

版权声明：本文内容来自博客园：上善若泪，遵循CC 4.0 BY-SA版权协议上原文接及本声明。本作品采用知识共享署名-非商业性使用-禁止演绎 2.5 中国大陆许可协议进行可。原文链接：https://www.cnblogs.com/hukey/p/10443898.html如有涉及到侵权，请联系，将立即予以删除处理。在此特别鸣谢原作者的创作。此篇文章的所有版权归原作者所有，与本公众号无关，商业转载建议请联系原作者，非商业转载请注明出处。