Linux挖矿病毒应急排查实战【附靶机链接】

原创

内存余响
内存余响

内存余响

2026年10月30日 22:31
浙江

去阅读

场景：一台对外提供会员业务的服务器，CPU使用率长时间90%以上，页面卡顿。

靶机账号密码【root免密】：ir/Ir@2024

靶机地址：https://pan.baidu.com/s/1Tp2oPsiGFcn9HbXRFF5KkQ?pwd=ram6 提取码: ram6

本题共两个flag

通过查看CPU使用情况得知名为“kdevtmpfsi”的程序高度使用

查看CPU使用情况：

top -c

看外联：

ss -antp | grep 972

查看目录额外发现同一时间存在另一个可疑文件，还是隐藏的：.sysconfig.json

查看隐藏的配置文件：

cat /tmp/.sysconfig.json

矿池地址、钱包、线程数，一应俱全。到这里，进程、文件、外联三件事已经串起来了，可以确认是一起挖矿事件。

像这种挖矿的一般有复活程序，不过也可以试试能不能杀掉；

尝试下，杀掉后马上就起来了

找出他的守护者，一般是两个方向：定时任务、系统服务。

定时任务有一个复活程序，在程序注释里得到一个flag

crontab -lcat /usr/lib/.cache/.upd

flag{cr0n\_k33ps\_th3\_m1n3r\_al1ve}

代码分析：

复活函数，一分钟检查一次挖矿程序、配置文件、python挖矿进程及二进制挖矿程序。

检查下系统服务，发现可疑服务：network-helper.service

systemctl list-unit-files --type=service --state=enabled

查看服务详情，这个文件路径跟上面定时任务的一样，程序也是一分钟检查一次

排查web日志发现是文件上传漏洞造成的，这里拿到第二个flag

flag{w3bsh3ll\_1s\_th3\_d00r}

处置环节：

1、关掉服务

systemctl disable --now network-helper.servicerm -f /etc/systemd/system/network-helper.servicesystemctl daemon-reload

2、清理定时任务

crontab -r -u root

3、删脚本与备份

rm -f /usr/lib/.cache/.upd /usr/lib/.cache/.kdev.bakrm -f /usr/lib/.cache/pool.py

4、杀进程及删除落地文件；另外需要修复漏洞，因为是应急响应练习，所以不做这一步了，实际工作中一般由开发完成。

pkill -9 -x kdevtmpfsipkill -9 -f 'cache/pool.py'rm -f /tmp/kdevtmpfsi /tmp/.sysconfig.json

5、观察两分钟，看看还会不会再复活

sleep 120; pgrep -x kdevtmpfsi || echo clean

还原攻击链：