2021-10-03 小黑与挖矿木马程序的斗智斗勇

Posted 2021-10-23 任小黑

发现木马程序

小黑在一个寂寥的午后打算登陆云服务写点程序放上去。偶然瞥到finallshell监控栏cup使用率飙到了100%。如下图所示，回想起几天前云助手给发送的报警信息，意识到自己的服务器应该是被植入了木马程序。经过求助度娘，了解到自己的服务器被人植入了挖矿的木马程序，作为一个程序员，这还能忍？必须盘它。

解决过程

1. 看到cpu利用率被占满，首先想到是要排查是哪些进程占满了cup。使用top命令查找cup占用率最高的几个进程。可以查到进程的PID、COMMAND等信息。可以发现有个xmrigMiner相关进程占据了cpu利用率的一半。搜了一下xmrigMiner相关信息，了解到这应该是个挖矿程序。
   2. 再利用whereis xmrigMiner命令查找是否有相关的文件夹，很遗憾，并没有。
   

2. 利用ls -l /proc/$PID/exe命令根据PID查找文件夹(由于在解决过程中不断试错，中间丢失了一些截图，第一步中PID为554是之前的截图，我们本次的PID为15049，之前的截图丢失了)。
   

3. cd到文件夹中，发现确实有很多xmrig开头的文件。用tail命令查看一下xmrigMiner里边的内容，一堆乱码。反正确认都是木马文件了就直接删了。
   
   还有个config.sh脚本。使用cat命令查看一下，应该是木马程序的执行脚本。删之。

4. 依次查看目录下其他文件的内容决定是否要删除，最后重启服务器，解决。

参考资料
[1]: https://blog.csdn.net/u012978507/article/details/111867154