「作者簡介」：CSDN top100、阿里云博客專家、華為云享專家、網(wǎng)絡(luò)安全領(lǐng)域優(yōu)質(zhì)創(chuàng)作者
「推薦專欄」：對網(wǎng)絡(luò)安全感興趣的小伙伴可以關(guān)注專欄《網(wǎng)絡(luò)安全入門到精通》

一、什么是挖礦

比特幣系統(tǒng)每隔一段時間就會在節(jié)點(diǎn)上生成一個「隨機(jī)代碼」，互聯(lián)網(wǎng)中的所有設(shè)備都可以尋找這個代碼，誰先找到就能獲得獎勵。

而「尋找代碼」的過程，就是挖礦。

設(shè)備通過計(jì)算來篩選出符合條件的隨機(jī)代碼，每找到一個隨機(jī)代碼往往需要上萬億次的「哈希運(yùn)算」，CPU通常會被頂?shù)?00%。

為了「降低成本」，黑客往往會通過入侵的方式，控制別人的計(jì)算機(jī)來幫自己挖礦。

二、被挖礦主機(jī)現(xiàn)象

挖礦木馬最大的特點(diǎn)就是「CPU占用高」，占用高以后，電腦溫度就會升高、風(fēng)扇噪音也會變大，服務(wù)器上的業(yè)務(wù)變得異常緩慢。

三、挖礦木馬處置思路

1）隔離

非重要業(yè)務(wù)系統(tǒng)直接下線隔離再做排查。

重要業(yè)務(wù)系統(tǒng)：在不影響業(yè)務(wù)的前提下，及時隔離當(dāng)前主機(jī)，如禁用非業(yè)務(wù)使用端口、服務(wù)、配置ACL白名單。

2）確認(rèn)挖礦進(jìn)程

挖礦程序的進(jìn)程名稱一般表現(xiàn)為兩種形式：

一種是不規(guī)則的數(shù)字或字母，這種需要檢查哪些不常見的名字。

另一種是偽裝成常見的進(jìn)程，這種就重點(diǎn)看CUP占用高的進(jìn)程。

3）清除木馬

網(wǎng)絡(luò)層面阻斷挖礦木馬與礦池的通信。

清除挖礦定時任務(wù)，啟動項(xiàng)等。

定位挖礦文件位置并刪除。

4）加固

根據(jù)挖礦木馬的傳播方式，修復(fù)相應(yīng)漏洞，防止再次感染。

四、挖礦木馬處置步驟

首先根據(jù)CPU占用率確定確定挖礦進(jìn)程，找到母體文件并清除。

而后是檢查計(jì)劃任務(wù)、啟動項(xiàng)中，挖礦木馬的持久化操作，杜絕復(fù)發(fā)。

最后通過賬號、日志、母體文件等信息，溯源攻擊路徑。

1）Windows

0、挖礦木馬現(xiàn)象

CPU占用高，主機(jī)卡頓

1、排查進(jìn)程

思路：

通過網(wǎng)絡(luò)連接定位進(jìn)程PID，再通過PID定位具體程序，通過任務(wù)管理器定位進(jìn)程文件位置。
排查CUP占用高的、進(jìn)程名異常的進(jìn)程。

相關(guān)命令：

netstat -ano 查看網(wǎng)絡(luò)連接，最常見的就是大量445的連接。

tasklist | findstr “PID” 根據(jù)PID查看具體的進(jìn)程。

wmic process | findstr “進(jìn)程名稱” 根據(jù)進(jìn)程名獲取進(jìn)程位置。

attrib -H 文件名 取消隱藏屬性，很多時候我們定位到文件位置時，發(fā)現(xiàn)文件夾是空的，這時候就需要取消文件的隱藏屬性并顯示文件的后綴名。

2、排查賬號

思路：

檢查弱口令、可疑賬號，比如新建賬號、隱藏賬號、克隆賬號

相關(guān)命令：

net user查看當(dāng)前系統(tǒng)的賬號，與用戶確認(rèn)，是否有新建的可疑賬號；詢問用戶賬號口令是什么，是否存在弱口令。

WIN + R，輸入lusrmgr.msc，查看是否有隱藏賬號。

3、排查啟動項(xiàng)

WIN + R，輸入 regedit，打開注冊表，看開機(jī)啟動項(xiàng)。

WIN + R，輸入msconfig 或【任務(wù)管理器】-【啟動】

4、排查計(jì)劃任務(wù)

【控制面板】-【計(jì)劃任務(wù)】

cmd 輸入at或schtasks.exe。

5、日志分析

WIN + R，輸入 eventvwr.msc

重點(diǎn)看登錄日志，看登錄類型，2（網(wǎng)絡(luò)共享）和10（遠(yuǎn)程桌面）是挖礦木馬出現(xiàn)最多的登錄類型。

根據(jù)樣本文件的創(chuàng)建時間，排查這個時間段的登錄情況。

2）Linux

1、排查進(jìn)程

top命令檢查CUP占用高的進(jìn)程，確定PID，定位文件位置

netstat -anp 查看網(wǎng)絡(luò)連接

ps -ef 查看可疑進(jìn)程

ps -aux 查看進(jìn)程

ls -alh /proc/PID 根據(jù)PID查看進(jìn)程對應(yīng)的可執(zhí)行程序

kill -9 PID 結(jié)束進(jìn)程

2、排查賬號

cat /etc/passwd 查看用戶信息

last 用戶最近登錄的信息

lastlog 所有用戶最后一次登錄的信息

lastb 用戶登錄失敗的信息

history 歷史命令

3、排查定時任務(wù)

crontab -l 查看計(jì)劃任務(wù)

cat /etc/crontab 查看計(jì)劃任務(wù)

crontab -u root -l 查看root用戶的計(jì)劃任務(wù)

ls /etc/cron* 查看計(jì)劃任務(wù)文件

4、排查啟動項(xiàng)

/etc/rc*

/etc/rc.d/rc

/etc/rc

/etc/rc.local

/etc/rc.d/rc.local

/etc/rc.d/rc

/etc/init/*.conf

五、挖礦木馬應(yīng)急實(shí)例

驅(qū)動人生挖礦木馬：

利用永恒之藍(lán)傳播。

存在大量445連接行為，netstat -ano | grep 445

服務(wù)名包含drivers（\windows\system32\drivers\svchost.exe）

母體文件設(shè)置為隱藏，會創(chuàng)建多個計(jì)劃任務(wù)（Rsta或其他隨機(jī)名稱），調(diào)用PowerShell。

粉絲福利

評論區(qū)評論參與抽獎，送《Windows PowerShell自動化運(yùn)維大全》一本。

《Windows PowerShell自動化運(yùn)維大全》由微軟最有價值專家、微軟TechEd優(yōu)秀講師徐鵬著作，多年經(jīng)驗(yàn)毫無保留分享，一本書完全講透Windows PowerShell自動化運(yùn)維所有核心知識點(diǎn)，贈送同步視頻學(xué)習(xí)教程，助你從運(yùn)維初級工程師轉(zhuǎn)向高級運(yùn)維工程師！一本書精通Windows PowerShell自動化運(yùn)維！

本書從基礎(chǔ)的 PowerShell 命令開始，先后講述了基礎(chǔ)命令、模塊、腳本的編寫等相關(guān)知識。同時為了讓大家更快地理解和掌握 PowerShell 的環(huán)境配置和編寫，我們使用系統(tǒng)內(nèi)置的 PowerShell ISE 開發(fā)環(huán)境進(jìn)行 PowerShell 代碼的開發(fā)和運(yùn)行。為了照顧很多基礎(chǔ)薄弱的讀者，在進(jìn)行代碼案例演示時都使用了 15 行以內(nèi)的代碼。

本書可作為學(xué)校培訓(xùn)與企業(yè)培訓(xùn)的基本學(xué)習(xí)教程和工具書，相信通過本書的學(xué)習(xí)，讀者可以更快地理解 PowerShell在日常生活及企業(yè)內(nèi)的應(yīng)用，為讀者在自動化運(yùn)維的道路上助力。

文章來源地址http://www.zghlxwxcb.cn/news/detail-434212.html

到了這里，關(guān)于我的服務(wù)器被挖礦了，原因竟是。。。的文章就介紹完了。如果您還想了解更多內(nèi)容，請?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！