简介：为您完整复盘挖矿病毒的查杀过程。

1、问题描述

合作伙伴频繁出现内网主机异常性能过高的问题，对日常办公造成了不良影响。

为定位问题，部署了下一代防火墙（NGFW）、安全分析平台产品，并开启威胁情报服务进行观察。

2、处理过程

产品部署后，在NGFW日志中发现一台内网服务器（X.X.X.49）访问了外网地址（91.121.140.167），并被入侵防御系统（IPS）规则识别为矿机外联行为，随即对其进行阻断。

1）了解网络情况

合作伙伴反馈，该主机所在网段内均为内网业务服务器与主机，承载内网和分支机构的业务访问功能，不会主动访问公网，故判定该主机行为异常，需要进一步排查。

2）确认挖矿行为

远程登录（SSH）可疑主机（X.X.X.49），使用netstat-anop查看该主机的连接情况，发现它与一个与外网地址相连，且该地址与防火墙日志上的目的地址（91.121.140.167）相同，同时该连接没有PID与Program name相关信息，情况明显异常。

Tips：PID (process identification)代表进程标识号，在大多数操作系统内核（如Linux、Unix、macOS 和 Windows）中使用，它是在操作系统中创建进程时，自动分配的唯一标识号。一个进程即一个正在运行的程序实例。

威胁情报服务同样监控到了这个IP地址，发现它关联了5条反向DNS信息，其中4个域名都与supportxmr.com有关。

在网上查找域名supportxmr.com，该域名对应的是一个矿池。

至此可以初步确认，内网服务器（X.X.X.49）与外部矿池supportxmr.com有连接，存在挖矿行为。

3）查找挖矿程序

挖矿程序一般会占用大量系统资源，最直接的表现就是CPU占用很高，因此从CPU使用情况入手排查。

在问题主机上通过top命令查看CPU占用进程，发现各进程的CPU占用率都很正常，没有特别高的情况；但是用户态（us）占用率很高，达到了90.2%。这种情况，很有可能是系统top命令输出被篡改了。

根据以往的运维经验，判断系统被修改了/etc/ld.so.preload，从而影响了top命令输出使用的 find /etc -mtime1 |grep ld.so.preload。

事实证明该文件的确被修改过。通过ls–la /etc/ld.so.preload命令查看文件的修改时间，可以看到在5月23日22点19分被修改。

通过cat/etc/ld.so.preload命令进一步查看文件内容，可以看到该文件加载了一个so文件 libprocesshider.so，so文件是二进制文本类型。

将/etc/ld.so.preload的内容删除，再通过top命令查看CPU占用情况。这次显示了一个CPU占用很高的程序，程序名称为.sh，PID为10273，基本可以断定.sh就是挖矿程序。

4）删除挖矿程序

根据挖矿程序的PID查看进程文件，可以看到在/usr/lib/mysql目录下有一个名为.sh的可疑文件。

查看该文件的MD5值为“6a034a7041f30688086080a1c922e60”。

在/etc/目录下查找是否还有/tmp/.sh文件，发现名为/bin/shh的可疑文件。

该文件的MD5值同样为“6a034a7041f30688086080a1c922e60”。

查看/etc/profile.d/php.sh文件，发现是一个先复制并执行脚本，而后删除脚本的文件。

在/etc/profile.d/目录下，根据文件修改时间这一特征，还发现了一个名为supervisor.sh的可疑文件。

文件supervisor.sh是以supervisord起的一个守护进程，相关配置放在文件/etc/.supervisor/supervisord.conf中。

查看supervisord.conf文件，找到配置文件是在conf.d目录下任意后缀为.conf的文件

查看conf.d目录，发现名为123.conf的文件。

通过文件123.conf，可以定位到.sh的再上层路径/etc/spts，以及输出文件位置。

查看/etc/spts的MD5值，发现其MD5值依然为“6a034a7041f30688086080a1c922e60”。

另外，查看定时任务时，发现系统会定时将/etc/.sh复制到/tmp/下执行再删除，达到隐藏自身的目的。

查看/etc下文件，发现名为.sh的脚本。

该文件的MD5值为“6a034a7041f30688086080a1c922e60”，与/usr/lib/mysql/.sh的MD5一致，说明两个文件是相同的。

至此，挖矿程序已定位确认，将对应的恶意文件和进程及守护程序和进程删除即可初步解决问题。为了避免系统中其他位置还隐藏了该恶意文件，通过find /etc -type f -print0 |xargs -0 md5sum|grep “6a034a7041f306880886080a1c922e60″命令，使用MD5特征找出系统中所有的恶意文件并删除。