鈴波 靈的菠蘿格
  • 简体中文

    • 记一次给 XCRH 的杀毒经历

    一封来自遥远西方的邮件

    某天早上一起床，就收到 XCRH 的信息，说是主机提供商 RackNerd 给他发了一封奇怪的邮件。

    我点开截图一看，这不是典型的 SSH Abuse 嘛。还好之前为了维护方便，挂了探针到他的机器上。点开一看，好家伙，CPU 占用 100%，看得我头皮发麻。

    XCRH 的机器只用来搭博客，Hexo 的静态页面怎么说都不可能占用如此高的 CPU 负载。一个念头划过我的脑海：莫不是中了挖矿病毒？

    邮件内容

    Hello,

    RackNerd has received an abuse complaint concerning your service racknerd-5dd6e4.

    For more on our Terms of Service and Acceptable Use Policy, please visit:

    https://www.racknerd.com/terms-of-service

    We await your response to the below abuse complaint. An attempt to brute-force account passwords over SSH/FTP by a machine in your domain or network has been detected. Please take the necessary action(s) to stop this activity immediately.

    Host and target IP addresses have been redacted for privacy.

    Regards, RackNerd Abuse Department

    排查原因

    top 定位具体进程

    • CPU 占用高达 90% 以上的是一个素未谋面的 kswapd 进程，还是由 XCRH 的博客调试用户 blog 所启动的。

    使用 ps aux | grep 进程名 获取详细信息

    • 发现它在 /tmp 目录下隐藏了数个本体文件：
    ps aux | grep tsm
root      96052  0.0  0.0  11552    88 ?        S    11:14   0:00 timeout 3h ./tsm -t 515 -f 1 -s 12 -S 10 -p 0 -d 1 p ip
root      96058 43.7  1.7 5263372 60524 ?       Sl   11:14  66:54 /tmp/.X25-unix/.rsync/c/lib/64/tsm --library-path /tmp/.X25-unix/.rsync/c/lib/64/ /usr/sbin/httpd rsync/c/tsm64 -t 515 -f 1 -s 12 -S 10 -p 0 -d 1 p ip
ubuntu   118592 13.3  1.0 5263336 37160 ?       Sl   13:22   3:15 /tmp/.X25-unix/.rsync/c/lib/64/tsm --library-path /tmp/.X25-unix/.rsync/c/lib/64/ /usr/sbin/httpd rsync/c/tsm64 -t 515 -f 1 -s 12 -S 10 -p 0 -d 1 p ip

    使用 ps -ef | grep bash 获取命令历史信息

    • 发现仅有 blog 用户使用了此病毒，关键的 root 权限并未丢失。
    • 情况大致由一个 tsm 与一个 go 文件组成。
    ps -ef | grep bash
ubuntu      564    563  0 14:19 ?        00:00:00 /bin/bash ./tsm -t 515 -f 1 -s 12 -S 10 -p 0 -d 1 p ip
root       1196   1195  0 14:19 ?        00:00:00 /bin/bash ./tsm -t 515 -f 1 -s 12 -S 10 -p 0 -d 1 p ip
ubuntu    75581      1  0 May13 ?        00:00:03 /bin/bash ./go
root     103117      1  0 May03 ?        00:00:04 /bin/bash ./go

    做好清理

    清理 /tmp 目录

    • 看了一圈发现似乎并没有什么重要文件存储在此目录下，清理了 /tmp 里与感染相关的文件。
    • 目标进程依然没有终止，kill 命令也没有作用，于是继续追查。

    清理 crontab 与 /home/blog

    crontab

    • 切到受感染用户之后查看 crontab -e，发现它的 crontab 被写满了保活脚本，遂删除之。

    /home/blog 目录下的隐藏文件

    • 使用 ls -a 发现了名为 .bashrc5 的奇怪目录，内含名为 dota3.tar.gz 的文件。由于这是建站目的的 VPS，不可能存在游戏压缩包，遂删除之。

    清理 /home/blog/.ssh 目录

    • 此类病毒渗透的一个特点是注入自己的 SSH 密钥方便远控。
    • 该用户没有远程登录需求，故直接删除 .ssh 目录。

    清理 /home/blog/.configrc

    • 同样是定时任务保活脚本，清理之。

    检查清理情况

    • reboot 之后 CPU 占用恢复正常。观察一段时间后无变化，暂时视为杀毒完成。

    后续处理

    • 后来给 RackNerd 回信，表示已经第一时间处理完毕。
    • RackNerd 的限制总体而言较宽松，既没有直接停机，也没有因为 CPU 爆满开罚单。
    • 之后 XCRH 将博客部署系统迁到 root 用户，原 blog 用户被删除。root 使用密钥验证，攻击者不能再经由密码偷渡。
    • fail2ban 也是可行方案，但此前目睹过误封案例，因此没有采用。

    参考资料

    One More Thing

    文中 RackNerd 促销信息属于 2023 年历史内容，不应视为当前价格或推荐。

    Comments

    Loading comments…