挖矿处理

发表于 2025-07-14 分类于教程阅读次数：评论数：本文字数： 1.3k 阅读时长 ≈ 5 分钟

挖矿处理常见方法

说明：本文档结合日常应急处置经验与现场一线操作流程，总结了针对 Linux 服务器被挖矿感染时的排查、取证、清理与加固全流程，可按业务场景取舍。为保证取证完整性，建议 从上到下 依序执行。

1 现场信息确认

记录与备份
- 整理告警信息、日志文件和检测报告，记录告警时间、文件指纹（MD5、SHA256）以及进程信息。
- 对系统关键日志（如 syslog、auth.log）进行备份，以便后续取证和分析。
确认文件状态
- 排查可疑可执行文件路径，标记“在磁盘/已被删除/仅在内存”。
- 通过进程 ID <可疑进程 id> 进一步核实进程是否存在异常行为。

如果业务允许，先取证，再清理。

磁盘镜像

# 将整个系统盘做块级镜像（示例）
sudo dd if=/dev/sda of=/mnt/forensic/sda.img bs=16M status=progress

# Ubuntu/Debian
sudo apt-get install unhide -y
# CentOS/RHEL
sudo yum install unhide -y

# 扫描隐藏进程 ID
sudo unhide proc
# 扫描隐藏端口
sudo unhide tcp

查看进程打开的文件句柄

# 安装 lsof
sudo apt-get install lsof -y  # Debian 系
sudo yum install lsof -y      # RHEL 系

lsof -p <可疑进程 id>

校验文件指纹
若发现文件句柄指向了匿名 inode、memfd 或已删除文件，可：

cat /proc/<可疑进程 id>/fd/<fd 编号> | md5sum
cat /proc/<可疑进程 id>/fd/<fd 编号> | sha256sum

# 终止前查看进程详情
ps -fp <可疑进程 id>

# 强制结束并避免孤儿进程
sudo kill -9 <可疑进程 id>

# 再次确认
ps -p <可疑进程 id>

提示：若已完成内存转储，此操作不会影响取证。

隔离文件（推荐）

mv /path/<可疑文件> /root/quarantine/

删除并加锁

rm -f /path/<可疑文件>
touch /path/<可疑文件>
chattr +i /path/<可疑文件>

查看 SysV Init 服务（**service** 命令）

# Debian/Ubuntu
service --status-all 2>&1 | grep '+'
ls /etc/init.d/

# CentOS/RHEL
chkconfig --list | grep -v off

service --status-all 将列出所有脚本，+ 表示正在运行，可配合 grep 过滤可疑脚本名。

排查 cron/rc.local/systemd

crontab -l
ls /etc/cron*
ls /etc/rc.local
ls /etc/systemd/system/

删除异常用户与组（可选）

sudo deluser <user>
sudo delgroup <group>
getent passwd <user>

# 查看实时外连
ss -tanp | grep -E 'ESTAB|SYN-SENT'

# 临时封禁矿池 IP
sudo iptables -I OUTPUT -d <ip> -j DROP

持久化方式	快速排查命令
`systemd` 替身服务	`systemctl list-units –type service
内核模块注入	`lsmod
用户级 `~/.config/autostart`	`find /home -type f -name '*.desktop'`
SSH authorized_keys 后门	`grep -R "command=" /home/*/.ssh/authorized_keys`
`LD_PRELOAD` 注入	`env

sudo rkhunter --check
sudo chkrootkit

若已启用 Kernel Lockdown / UEFI Secure Boot，可关注完整性校验失败日志。

部署 psacct/systemd-cgtop 收集历史 CPU / 内存曲线。
Linux ≥5.8 可用 bcc、bpftrace（如 runqlat、opensnoop）捕获高频系统调用；结合 Grafana + Prometheus 做可视化。

Docker/K8s

docker ps --no-trunc      # 查异常镜像
kubectl get cronjob -A    # K8s 恶意任务
kubectl get pod -o yaml | grep -i initContainer

sudoers 审计

sudo grep -R "(NOPASSWD|ALL=ALL)" /etc/sudoers*
visudo -c

全盘安全扫描：使用杀毒或 HIDS（如 Wazuh/OSSEC）对服务器做基线检查。
更新补丁 & 权限审查：及时修补内核和中间件漏洞；收紧高权限用户。
文件系统防护：将 /tmp、/var/tmp、/dev/shm 以 noexec,nosuid,nodev 方式重新挂载，配合 tmpreaper 定期清理。
强制访问控制：针对关键路径启用 SELinux/AppArmor，自定义拒绝规则阻断私自外联与未知可执行文件落地。
YARA / HIDS 规则：上线自定义 YARA 规则或 NIDS/HIDS 代理，实时告警新落地样本。
流量检测：接入 IDS/IPS，或使用 Zeek + ELK/Graylog 对网络会话做长留存分析。
eBPF 可观测：在生产机器上部署 Cilium/Tetragon 等 eBPF 安全探针，实时捕获可疑系统调用。