记一次反挖矿病毒。。。

这两天实验室电脑中度了，无故被占用50%cpu挖矿，且运行任何程序都会killed。

运行原理类似于，自动网上下载挖矿程序，然后rm删除程序，让你无从找到程序，有时候还会用ld.so.preload伪装，使你看不到占用资源的挖矿程序名称，在试了各种办法后，最有效的如下：

一、杜绝恶意IP访问

执行netstat查询外部ip，

$ netstat -ant

发现来自于荷兰的一个ip：

45.153.184.134

禁用ip：

$ iptables -I INPUT -s  45.153.0.0/16 -j DROP
# 保存规则
$ iptables-save > /etc/sysconfig/iptables
# 使规则生效
$ iptables -L

这样就禁止了此ip的访问。

有时，黑客会利用自启动程序在开机时对iptables进行修改，所以需要事先对iptables进行清空，在此，记录下重写iptables的过程。

清除所有规则：

$ iptables -F
$ iptables -X
$ iptables -Z

添加一些常用端口：

#允许本地回环接口(即运行本机访问本机)
$ iptables -A INPUT -i lo -j ACCEPT
# 允许已建立的或相关连的通行
$ iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
$ iptables -A OUTPUT -j ACCEPT
# 允许访问22,21,20,80端口
$ iptables -A INPUT -p tcp --dport 22 -j ACCEPT
$ iptables -A INPUT -p tcp --dport 21 -j ACCEPT
$ iptables -A INPUT -p tcp --dport 20 -j ACCEPT
$ iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# 允许127.0.0.1
$ iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
$ iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEP
#
$ iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
$ iptables -A OUTPUT  -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
#允许ping
$ iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
#运行自己指定的网段
$ iptables -A INPUT -p tcp -s 172.16.0.0/16 --dport 22 -j ACCEPT
#禁止其他未允许的规则访问
$ iptables -A INPUT -j REJECT  #（注意：如果22端口未加入允许规则，SSH链接会直接断开。）
$ iptables -A FORWARD -j REJECT

查看网络通信，查找异常IP：

$ netstat -ant 或者 netstat -antp

禁止挖矿网段：

$ iptables -I INPUT -s 198.251.0.0/16 -j DROP
$ iptables -I INPUT -s 45.153.0.0/16 -j DROP
3 $ iptables -I INPUT -s 54.38.193.170 -j DROP

只允许内网网段：

1 $ iptables -A INPUT -p tcp -s 172.16.0.0/16 --dport 22 -j ACCEPT

到此，规则就重写完成，记得保存规则生效：

$ iptables-save > /etc/sysconfig/iptables
$ iptables -L

设置iptables开机启动：

$ chkconfig --level 345 iptables on
2 $service iptables save

二、删除挖矿病毒源程序

可以参考https://blog.csdn.net/weixin_45284355/article/details/110728620 这篇博客，跟我遇到的问题几乎一样。

在 /bin/ 下找到 sysdrr 挖矿源病毒程序，并删除！

同时也可以使用 find / -name sysdrr 全盘查找源病毒程序，并删除！

在 /etc/cron.monthly/ ,  /etc/cron.weekly/ ,  /etc/cron.daily/ ,  /etc/cron.hourly/ 这些定时目录里找到sync程序并删除！

用 crontab -l 查看定时任务并删除所有异常定时任务。

上述sysdrr和sync直接删除不了，就需要先用 chattr -R -i /bin/sysdrr 和 chattr -R -i /bin/sync ，在用 rm -f 删除！

这样就解决了挖矿病毒的问题。

至此，我们就成功啦！！