社区应用 最新帖子 精华区 社区服务 会员列表 统计排行
发帖 回复
« 返回列表
  • 435阅读
  • 4回复

[分享]DDG挖矿病毒排查总结

 楼层直达
z3960 
级别: FLY版主
发帖
786303
飞翔币
211574
威望
215717
飞扬币
2615486
信誉值
8
只看楼主 更多操作 0 发表于: 2023-09-09
— 本帖被 任逍遥 执行锁定操作(2024-06-28) —


DDG挖矿病毒排查总结

  • 这篇文章第一次上传时为了测试只转了部分图片，太久了改不了了。最近有空把所有图片都转了！


0、本次爆破


参考链接1参考链接2

  • 挖矿程式使用Haiduc……

  • 目录 /tmp/.md/

  • 脚本

  • 字典文件

  • 爆破记录

  • 内网主机banner

  • haiduc可能是黑客用来爆破的脚本，可惜被自动杀了。此脚本爆破速度很快。

  • 目录中存在字典文件、爆破记录


1、计划任务下载 i.sh shell 脚本


  • 黑客通过SSH爆破或漏洞攻击利用进行入侵，入侵成功后会执行远程下载名为i.sh的shell脚本

  • 该脚本主要功能是写入定时任务用于持久化，下载ddgs母体二进制文件，分为32位（h32）和64位（h64）；之后将下载的ddgs病毒母体重命名为mbdh139c，赋予权限并执行；清除历史版本的进程

  • 生成的重要恶意文件 例：


2、ddgs母体

  • 自我文件拷贝、下载挖矿进程、使用漏洞感染其他设备


3、处置



1、删除计划任务




2、删除用户



01.确认用户不存在进程




02.删除用户

复制代码 隐藏代码userdel -r -f username# -r 删除用户家目录及其中的文件和邮件目录# -f 强制删除


3、删除挖矿目录


  • 挖矿目录

  • 删除

    4、删除爆破目录


  • 爆破目录

  • 删除

    5、删除其他病毒文件


  • 所有病毒文件除爆破和挖矿外均在test和test1用户目录下


6、删除排查过程中装的软件及文件



Tip

  • 本次四台服务器共用一套文件系统，故在主节点（master）删除两个用户后其它节点不需要再删除。

相关话题

关键词: bot 系统 下载 软件 服务器
分享到 淘江湖 新浪 QQ微博 QQ空间 开心 人人 豆瓣 网易微博 百度 鲜果 白社会 飞信
我不喜欢说话却每天说最多的话，我不喜欢笑却总笑个不停，身边的每个人都说我的生活好快乐，于是我也就认为自己真的快乐。可是为什么我会在一大群朋友中突然地就沉默，为什么在人群中看到个相似的背影就难过，看见秋天树木疯狂地掉叶子我就忘记了说话，看见天色渐晚路上暖黄色的灯火就忘记了自己原来的方向。
回复 引用
举报
任逍遥 
级别: 超级版主
发帖
883609
飞翔币
253127
威望
224883
飞扬币
2704510
信誉值
0
只看该作者 1 发表于: 2023-09-10
来看一下
快乐每一天
回复 引用
举报
任逍遥 
级别: 超级版主
发帖
883609
飞翔币
253127
威望
224883
飞扬币
2704510
信誉值
0
只看该作者 2 发表于: 2023-09-10
不错，了解了
快乐每一天
回复 引用
举报
srwam 
级别: 超级版主
发帖
710062
飞翔币
170
威望
25627
飞扬币
3206927
信誉值
0
只看该作者 3 发表于: 2023-09-26
来看看
回复 引用
举报
srwam 
级别: 超级版主
发帖
710062
飞翔币
170
威望
25627
飞扬币
3206927
信誉值
0
只看该作者 4 发表于: 2023-09-26
了解一下
回复 引用
举报
发帖 回复
« 返回列表