บริการแปลก ๆ ที่มีชื่อว่า“ Carbon” ทำงานทุกวันและครอบครอง CPU 100%

ในช่วงสองสามสัปดาห์ที่ผ่านมามีกิจกรรมแปลก ๆ ในเซิร์ฟเวอร์ทดสอบ Ubuntu ของฉัน โปรดตรวจสอบภาพหน้าจอด้านล่างจาก htop ทุกวันบริการแปลก ๆ นี้ (ซึ่งดูเหมือนว่าบริการการขุด cryptocurrency) กำลังทำงานและรับ CPU 100%

เซิร์ฟเวอร์ของฉันสามารถเข้าถึงได้ผ่านทางคีย์ ssh เท่านั้นและการลงชื่อเข้าใช้รหัสผ่านถูกปิดใช้งาน ฉันพยายามค้นหาไฟล์ที่มีชื่อนี้ แต่หาไม่พบ

คุณช่วยฉันด้วยปัญหาด้านล่างได้ไหม

จะค้นหาตำแหน่งกระบวนการจากรหัสกระบวนการได้อย่างไร
ฉันจะลบสิ่งนี้ได้อย่างไร
มีความคิดใดบ้างที่สิ่งนี้อาจเข้าสู่เซิร์ฟเวอร์ของฉัน เซิร์ฟเวอร์รันการทดสอบส่วนใหญ่ของการปรับใช้ Django เป็นหลัก

ubuntu security process

— Habib Ullah Bahar
แหล่งที่มา

ระบบของคุณได้รับการติดกับสิ่งที่เราเรียกว่าเหรียญ Miner

— LinuxSecurityFreak

สิ่งนี้ไม่ได้ตอบคำถามของคุณทั้งหมด แต่อาจมีความเกี่ยวข้อง: serverfault.com/questions/218005/…

— dhag

นี่คือลิงค์ที่อธิบายวิธีการทำงานของมัลแวร์ที่ไม่มีตัวตนนี้ จากเว็บไซต์นั้นฉันคิดว่าเซิร์ฟเวอร์ของคุณต้องได้รับการจัดรูปแบบ: csoonline.com/article/3227046/malware/ …

— F.Jawad

โปรดทราบว่านอกจากการล้างข้อมูลซึ่งมักจะหมายถึงการติดตั้งใหม่คุณต้องแก้ไขช่องโหว่ด้วย มิฉะนั้นมันจะกลับมา

— Gilles 'หยุดความชั่วร้าย'

กระบวนการนี้เป็นเวอร์ชันที่ถูกเปลี่ยนชื่อของโปรแกรมการขุดที่เป็นที่นิยม มันกำลังขุด Monero ไปที่ pool xmr.crypto-pool.fr ค้นหาสตริงยาวที่ขึ้นต้นด้วย 4 บนเว็บไซต์นั้นควรบอกขนาดของการขุดของผู้โจมตี

— Dmitry Kudriavtsev

คำตอบ:

ตามที่อธิบายโดยคำตอบอื่น ๆ มันเป็นมัลแวร์ที่ใช้คอมพิวเตอร์ของคุณเพื่อขุด cryptocoins ข่าวดีก็คือว่ามันไม่น่าจะทำอะไรอย่างอื่นนอกจากการใช้ซีพียูและไฟฟ้าของคุณ

นี่คือข้อมูลเพิ่มเติมเล็กน้อยและสิ่งที่คุณสามารถทำได้เพื่อต่อสู้เมื่อคุณกำจัดมันไปแล้ว

มัลแวร์ที่มีการทำเหมืองแร่ที่เรียกว่า altcoin moneroให้เป็นหนึ่งในสระว่ายน้ำที่ใหญ่ที่สุด monero, crypto-pool.fr แหล่งรวมนั้นถูกต้องตามกฎหมายและพวกเขาไม่น่าจะเป็นแหล่งที่มาของมัลแวร์นั่นไม่ใช่วิธีที่พวกเขาทำเงิน

หากคุณต้องการรบกวนใครก็ตามที่เขียนมัลแวร์นั้นคุณสามารถติดต่อผู้ดูแลระบบของพูล (มีอีเมลในหน้าสนับสนุนของไซต์ของพวกเขา) พวกเขาไม่ชอบบ็อตเน็ตดังนั้นหากคุณรายงานที่อยู่ที่มัลแวร์ใช้ (สตริงยาวที่ขึ้นต้นด้วย42Hr...) พวกเขาอาจตัดสินใจระงับการชำระเงินตามที่อยู่นั้นซึ่งจะทำให้ชีวิตของแฮกเกอร์ที่เขียนชิ้นส่วนนั้น ของ.. ยากขึ้นอีกนิด

สิ่งนี้อาจช่วยได้เช่นกัน: ฉันจะฆ่ามัลแวร์ minerd ในอินสแตนซ์ของ AWS EC2 ได้อย่างไร (เซิร์ฟเวอร์ที่ถูกบุกรุก)

— assylias
แหล่งที่มา

เท่าที่ฉันชอบความคิดที่จะลงโทษแฮ็กเกอร์ฉันไม่แน่ใจว่าฉันจะแนะนำให้ทำเช่นนั้นเมื่อแฮ็กเกอร์กล่าวว่าเห็นได้ชัดว่ามีการเข้าถึงคอมพิวเตอร์เนื่องจากอาจมีการตอบโต้ ฉันจะแนะนำการรักษาความปลอดภัยสินทรัพย์ก่อน (สำรอง!) อย่างน้อยที่สุด

— Matthieu M.

ขึ้นอยู่กับว่าปัญหาใดที่โปรแกรมไปซ่อนที่ซึ่งมันถูกเรียกใช้ ถ้ามันไม่มากเกินไปแล้ว

เริ่มต้นด้วย ID กระบวนการ12583ในภาพหน้าจอ
ใช้ls -l /proc/12583/exeและควรให้ลิงค์สัญลักษณ์กับชื่อพา ธ สัมบูรณ์ซึ่งอาจมีหมายเหตุประกอบด้วย(deleted)
ตรวจสอบไฟล์ที่ชื่อพา ธ ถ้ายังไม่ถูกลบ หมายเหตุโดยเฉพาะอย่างยิ่งถ้านับลิงค์คือ 1 ถ้าไม่เช่นนั้นคุณจะต้องค้นหาชื่ออื่น ๆ สำหรับไฟล์

เนื่องจากคุณอธิบายว่านี่เป็นเซิร์ฟเวอร์ทดสอบคุณน่าจะดีกว่าด้วยการบันทึกข้อมูลและติดตั้งใหม่ ความจริงที่ว่าโปรแกรมกำลังทำงานในฐานะรูทหมายความว่าคุณไม่สามารถไว้วางใจเครื่องได้ในขณะนี้

อัปเดต: ตอนนี้เรารู้ว่าไฟล์อยู่ใน / tmp เนื่องจากนี่เป็นไบนารีจึงมีตัวเลือกสองทางไฟล์จะถูกคอมไพล์ในระบบหรือถูกคอมไพล์ในระบบอื่น ดูที่เวลาใช้งานล่าสุดของไดรเวอร์คอมไพเลอร์ls -lu /usr/bin/gccอาจให้เบาะแสกับคุณ

ในฐานะ stopgap หากไฟล์มีชื่อคงที่คุณสามารถสร้างไฟล์ด้วยชื่อนี้ แต่ได้รับการป้องกันการเขียน ฉันอยากจะแนะนำเชลล์สคริปต์ขนาดเล็กที่บันทึกกระบวนการปัจจุบันทั้งหมดและจากนั้นพักเป็นเวลานานในกรณีที่สิ่งที่กำลังเรียกใช้คำสั่ง respawns งาน ฉันจะใช้chattr +i /tmp/Carbonถ้าระบบไฟล์ของคุณอนุญาตให้มันเป็นสคริปต์น้อยจะรู้วิธีจัดการกับไฟล์ที่ไม่เปลี่ยนรูป

— icarus
แหล่งที่มา

ฉันสามารถหาพา ธ สัมบูรณ์ภายในโฟลเดอร์ / tmp ดังนั้นดูเหมือนว่ามันจะถูกสร้างขึ้นโดยอย่างอื่น

— Habib Ullah Bahar

ไม่กี่ขั้นตอนแรกไม่ได้มีประโยชน์มาก คุณพึ่งพาผู้เขียนมัลแวร์ว่าไร้ความสามารถ บางคนมี แต่อันนี้เป็นผู้ทำเงินพวกเขาสามารถจ้างโปรแกรมเมอร์ที่มีความสามารถ ในใจคุณมัลแวร์ตัวนี้ไม่ค่อยดีนัก

— Gilles 'หยุดความชั่วร้าย'

@Gilles ฉันยอมรับว่าฉันพึ่งผู้เขียนที่ไม่ได้พยายามมากเท่าที่ฉันพูดในประโยคแรก how do I remove malware from my serverฉันกำลังตอบคำถามตามที่เขียนไว้ไม่ได้ทั่วไป

— รัส

@icarus การวัดช่องว่างหยุดทำงานได้ดีขอบคุณ แต่ตามคำแนะนำของทุกคนเริ่มสร้างเซิร์ฟเวอร์ใหม่ขึ้นใหม่ตั้งแต่ต้นแล้ว

— Habib Ullah Bahar

เซิร์ฟเวอร์ของคุณดูเหมือนจะถูกมัลแวร์ตัวทำลาย BitCoin ดู ServerFault เธรด @dhag ที่โพสต์ นอกจากนี้หน้านี้มีข้อมูลมากมายเกี่ยวกับเรื่องนี้

ดูเหมือนจะเป็นสิ่งที่เรียกว่า "มัลแวร์ที่ไม่มีชื่อ" - คุณไม่สามารถค้นหาไฟล์ที่เรียกใช้งานได้เพราะคุณไม่ควรทำ มันใช้ความจุซีพียูของคุณหมดแล้วเพราะมันใช้เพื่อขุด cryptocurrency

— แทนเนอร์แบ็บค้อก
แหล่งที่มา

ฉันคิดว่ามันเป็นการขุดเหรียญ alt ไม่ใช่เหรียญ

— CodesInChaos

หน้าที่ลิงก์มาเกี่ยวกับมัลแวร์ไร้สาระดูเหมือนจะเป็นเรื่องเกี่ยวกับโปรแกรม windows แต่เซิร์ฟเวอร์นี้ใช้งาน Ubuntu

— รัส

เหมืองนี้ Monero

— Dmitry Kudriavtsev