生产机器被植入`kdevtmpfsi`挖矿程序处理

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了生产机器被植入`kdevtmpfsi`挖矿程序处理相关的知识,希望对你有一定的参考价值。

生产机器被植入kdevtmpfsi挖矿程序处理

事情经过

1, 手机钉钉收到报警信息,说阿里云的一台机器负载过高
2, 根据报警信息我们登录到这台机器上使用 uptime 命令查机器负载
技术图片![]
然后这台机器的 CPU 是 8 核的,可以判断出来 CPU 负载确实高了
3,这个时候通过命令 mpstat 查看到底是应为 CPU 还是磁盘造成的负载高
技术图片

我们可以看到 CPU 使用率基本上每核都达到了 100%,
4,紧接着我们使用命令 pidstat 来查看到底是哪个进程占用那么高的 CPU
技术图片
从这里面我们可以看出进程 PID 为 28245 的进程占用我们大量的 CPU,这个进程看着很陌生,不是我们自己的程序,于是就去百度下这个
技术图片
发现这个是一个挖矿病毒,然后心里想 mmp,
现在发现他是个挖矿病毒之后我们就开始处理它,看看他的进程树
技术图片
发现这个进程是被植入在 redis 容器里面的,果断给这个容器删除,更换镜像,设置强密码,之后得以解决这个问题

总结:
镜像不能随便使用,我们应该尽量使用软件官方制作的 docker 镜像.

以上是关于生产机器被植入`kdevtmpfsi`挖矿程序处理的主要内容,如果未能解决你的问题,请参考以下文章

kdevtmpfsi挖矿病毒处理

处理kdevtmpfsi挖矿病毒

我的大脑被挖矿代码搞的不能好好思考了

记一次服务器被植入挖矿木马cpu飙升200%解决过程

服务器被植入挖矿病毒解决办法

关于Redis未授权访问漏洞被植入挖矿程序