当前位置:首页 » 挖矿知识 » 挖矿显示木马

挖矿显示木马

发布时间: 2024-05-25 22:57:32

① 手机如何清除挖矿木马

下载杀毒软件,比如手机安全卫士,进行杀毒清理,然后重启手机就可以了。

② 挖矿木马是什么

就是你电脑后台自行消耗显卡与CPU资源的木马病毒,这种木马是看你电脑配置很高,后台自行挖矿,你一般看不出来,但是你显卡或CPU占用很高的。

③ 挖矿木马如何查杀

查杀木马的话你可以下载一个杀毒软件或者是防火墙之类的

④ 服务器被攻击并植入kdevtmpfsi挖矿/病毒/木马

MongoDB库中的数据莫名其妙没有了,发觉如下信息:

1、 top -d 5命令 ,查看系统负载情况、是否有未知进程,发现一个名为kdevtmpfsi的进程,经科普它是一个挖矿程序,会占用服务器高额的CPU、内存资源。如图,CPU占用率高达788.7%,而且是yarn用户下:

2、 ps -ef |grep kdevtmpfsi 命令查看 该挖矿程序路径:/tmp/kdevtmpfsi

3、 ps -ef |grep yarn 命令查看更多关于yarn相关进程信息(此时我的服务器并没有开启yarn服务,如果有yarn的相关进程则可判断是攻击者开启的进程),发现另外还有个kinsing进程,经科普kinsing进程是kdevtmpfsi的守护进程:

4、 netstat -lntupaa 命令查看是否有异常的ip,果然发现194.87.102.77这个陌生的ip,判断是kdevtmpfsi的发出者:

5、经查询该ip的所在国家是俄罗斯:

6、 find / -iname kdevtmpfsi 命令再次确定命令所在位置以便删除:

7、 cd /tmp 进入相关目录:

8、 rm -rf kdevtmpfsi 删除kdevtmpfsi程序:

9、** kill -9 40422**杀掉kdevtmpfsi进程:

10、发现并没杀掉所有kdevtmpfsi进程,再次查找yarn的相关进程(因为之前已确认病毒是在yarn下),果真还有kdevtmpfsi进程存在:

11、用命令 批量杀掉 相关进程:

12、删除kinsing文件:

13、现在,已经把挖矿程序及相关进程删除掉了,但是还有两处没做处理:

14、 crontab -l 命令先看看crontab的定时任务列表吧:

15、编写删除挖矿程序脚本 kill_kdevtmpfsi.sh

16、新增 定时任务 并删除攻击者的挖矿定时任务:

17、 crontab -l命令 查看现在只有杀进程的定时任务了:

18、禁止黑客的IP地址。

最初安装MongoDB时,并未设置密码认证,存在漏洞,导致黑客通过漏洞攻击服务器,并在程序里植入木马/病毒。单纯的kill -9 id杀掉病毒进程是杀不彻底的,治标不治本,应该定时删除病毒进程,禁止攻击者IP,重新安装系统或相关软件。

经过几天的观察,服务器运行正常,再没有被黑客攻击成功。

⑤ WannaMine挖矿木马手工处理

关于病毒及木马的问题,都说老生常谈的了,这里就不讲逆向分析的东西,网上毕竟太多。就写一下WannaMine2.0到4.0的手工处理操作。确实,很多时候都被问的烦了。

WannaCry勒索与WannaMine挖矿,虽然首次发生的时间已经过去很久了,但依旧能在很多家内网见到这两个,各类杀毒软件依旧无法清除干净,但可以阻断外联及删除病毒主体文件,但依然会残留一些。此种情况下,全流量分析设备依旧可以监测到尝试外联,与445端口扫描行为。

WannaCry 在使用杀毒软件及手动清除攻击组件所在目录后,仍需手动cmd命令删除两个系统服务sc delete mssecsvc2.0与mssecsvc2.1。

WannaMine 全系使用“永恒之蓝”漏洞,在局域网内快速传播。且高版本会在执行成功后完全清除旧版本。

下图为WannaCry与WannaMine使用的永恒之蓝攻击组件相关文件。

WannaMine2.0版本

该版本释放文件参考如下:
C:
C:Windowssystem32wmassrv.dll
C:.dll
C:WindowsSystem32EnrollCertXaml.dll 删除系统服务名与DLL文件对应的wmassrv。

WannaMine3.0版本

该版本释放文件参考如下:

C:.xmlC:WindowsAppDiagnosticsC:WindowsSystem32TrustedHostex.exeC:WindowsSystem32snmpstorsrv.dll

需删除主服务snmpstorsrv与UPnPHostServices计划任务

WannaMine4.0版本

该版本释放文件参考如下:

C:WindowsSystem32 dpkax.xsl

C:WindowsSystem32dllhostex.exe

C:.dll

C:.dll

C:WindowsSysWOW64dllhostex.exe

C:WindowsNetworkDistribution

<pre style="margin: 0px; padding: 0px; white-space: pre-wrap !important; overflow-wrap: break-word !important; max-width: 98%;">文件名随机组合参考• 第一部分:Windows、Microsoft、Network、Remote、Function、Secure、Application •第二部分:Update、Time、NetBIOS、RPC、Protocol、SSDP、UPnP •第三部分:Service、Host、Client、Event、Manager、Helper、System •rdp压缩文件随机字符串后缀:xml、log、dat、xsl、ini、tlb、msc</pre>

关于Windows下计划任务与启动项查看方式,建议在使用PCHunter、Autoruns、ProcessHacker等工具无法发现异常的情况下,可以到注册表下查看。

注册表下排查可疑的计划任务

HKEY_LOCAL_

发现可疑项可至tasks下查看对应ID的Actions值

HKEY_LOCAL_ asks[图片上传失败...(image-e8f3b4-1649809774433)]

计划任务文件物理目录
C:

新变种病毒有依靠 WMI 类属性存储 ShellCode 进行攻击,Autoruns可以用来检查WMI与启动项并进行删除,在手动删除病毒相关计划任务与启动项时,记得删除相应的文件与注册表ID对应项。

注册表下查看开机启动项
HKEY_CURRENT_或runOnce [图片上传失败...(image-8a357b-1649809774432)]

⑥ 挖矿木马是什么

挖矿木马 就是指用你电脑CPU GPU帮它进行复杂运算的恶意程序,一般不怎么占用网络流量
,主要是消耗计算机性能。针对这类恶意程序不少安全产品推出了一系列不错的功能 都能比较好拦截查杀挖矿木马,比如反挖矿防护功能等

热点内容
usdt协议对接 发布:2024-06-19 14:05:52 浏览:161
区块链技术应用20 发布:2024-06-19 13:44:12 浏览:674
2019年10月比特币能涨多少美元 发布:2024-06-19 13:39:07 浏览:679
比特币btc最高涨到多少 发布:2024-06-19 13:27:17 浏览:403
区块链十大冷钱包 发布:2024-06-19 13:24:46 浏览:958
对区块链的问题 发布:2024-06-19 13:08:52 浏览:278
支付行业也是区块链最早的应用领域 发布:2024-06-19 13:07:58 浏览:498
开荒地没签合约怎么处理 发布:2024-06-19 13:02:19 浏览:859
移动88套餐合约期到了怎么续约 发布:2024-06-19 13:00:11 浏览:444
币圈数字钱包视频 发布:2024-06-19 12:36:25 浏览:979