"कार्बन" नाम के साथ अजीब सेवा हर रोज चल रही है और 100% सीपीयू है

Question

पिछले कुछ हफ्तों से, मेरे उबंटू परीक्षण सर्वर में अजीब गतिविधि हुई है। कृपया नीचे दिए गए स्क्रीनशॉट को htop से जांचें। हर दिन यह अजीब सेवा (जो एक क्रिप्टोक्यूरेंसी खनन सेवा की तरह लगती है) चल रही है और 100% सीपीयू ले रही है।

मेरा सर्वर केवल ssh कुंजी के माध्यम से सुलभ है और पासवर्ड लॉगिन अक्षम किया गया है। मैंने इस नाम की कोई भी फाइल खोजने की कोशिश की है, लेकिन कोई भी नहीं मिल सका।

क्या आप नीचे दिए गए मुद्दों के साथ मेरी मदद कर सकते हैं

• प्रोसेस आईडी से प्रोसेस लोकेशन कैसे पता करें?
• मैं इसे पूरी तरह से कैसे निकालूं?
• किसी भी विचार कैसे यह मेरे सर्वर में मिल सकता है? सर्वर मुख्य रूप से कुछ Django तैनाती का परीक्षण संस्करण चलाता है।

Comments

आपके सिस्टम को एक सिक्का माइनर से संक्रमित किया गया है ।

— LinuxSecurityFreak

यह आपके सभी प्रश्नों का उत्तर नहीं देता है, लेकिन प्रासंगिक हो सकता है: serverfault.com/questions/218005/…

— dhag

यहां एक लिंक दिया गया है, जो बताता है कि यह फाइललेस मैलवेयर कैसे काम करता है। उस वेबसाइट के आधार पर, मुझे लगता है कि आपके सर्वर को फॉर्मेट करना होगा: csoonline.com/article/3227046/malware/…

— F.Jawad

ध्यान दें कि इसे साफ करने के अलावा, जिसका अर्थ आमतौर पर पुनर्स्थापना है, आपको भेद्यता को पैच करने की भी आवश्यकता है । नहीं तो वापस आ जाएगा।

— गिल्स एसओ- बुराई को रोकना '

यह प्रक्रिया एक लोकप्रिय खनन कार्यक्रम का बदला हुआ संस्करण है। यह पूल xmr.crypto-pool.fr के लिए मोनरो खनन कर रहा है। उस वेबसाइट पर 4 से शुरू होने वाले लंबे स्ट्रिंग को देखें, यह हमलावर के खनन के पैमाने का संकेत देना चाहिए।

— दिमित्री कुद्रियात्सेव

Answer 1

जैसा कि अन्य उत्तरों से समझाया गया है कि यह एक मैलवेयर है जो आपके कंप्यूटर का उपयोग मेरा क्रिप्टोकरंसीज करने के लिए करता है। अच्छी खबर यह है कि यह आपके सीपीयू और बिजली का उपयोग करने के अलावा और कुछ करने की संभावना नहीं है।

यहां थोड़ी और जानकारी दी गई है और इससे छुटकारा पाने के बाद आप वापस लड़ने के लिए क्या कर सकते हैं।

मालवेयर एक सबसे बड़े मोनरो पूल, crypto-pool.fr में से एक को मोनरो कहा जाता है । वह पूल वैध है और वे मैलवेयर के स्रोत होने की संभावना नहीं है, यही नहीं वे पैसे कैसे बनाते हैं।

यदि आप चाहते हैं कि जिसने भी उस मैलवेयर को लिखा है, तो आप पूल के व्यवस्थापक से संपर्क कर सकते हैं (उनकी साइट के समर्थन पृष्ठ पर एक ईमेल है)। उन्हें बॉटनेट्स पसंद नहीं हैं इसलिए यदि आप उन्हें मालवेयर द्वारा उपयोग किए जाने वाले पते (लंबी स्ट्रिंग जो शुरू होती है 42Hr...) को रिपोर्ट करते हैं, तो वे संभवतः उस पते पर भुगतानों को निलंबित करने का निर्णय लेंगे जो उस टुकड़े को लिखने वाले हैकर का जीवन बना देगा of sh .. थोड़ा और मुश्किल।

यह भी मदद कर सकता है: मैं एक एडब्ल्यूएस ईसी 2 उदाहरण पर माइनर मैलवेयर कैसे मार सकता हूं? (समझौता सर्वर)

Comments

जैसा कि मुझे हैकर को दंडित करने का विचार पसंद है, मुझे यकीन नहीं है कि मैं ऐसा करने की सिफारिश करूंगा जब कहा कि हैकर जाहिर है कि कंप्यूटर तक पहुंच है, क्योंकि प्रतिशोध हो सकता है। मैं सबसे पहले संपत्ति (बैकअप!) हासिल करने की सलाह दूंगा, बहुत कम से कम।

— मैथ्यू एम।

Answer 2

यह इस बात पर निर्भर करता है कि कार्यक्रम को चलाने के लिए कितनी परेशानी आती है। अगर यह बहुत ज्यादा नहीं है

1. 12583स्क्रीनशॉट में प्रोसेस आईडी से शुरू करें
2. उपयोग करें ls -l /proc/12583/exeऔर यह आपको एक निरपेक्ष pathname के लिए एक प्रतीकात्मक लिंक देना चाहिए, जिसके साथ एनोटेट किया जा सकता है(deleted)
3. यदि यह हटाया नहीं गया है, तो पथनाम पर फ़ाइल की जांच करें। विशेष रूप से ध्यान दें यदि लिंक की गिनती 1. है। यदि यह नहीं है तो आपको फ़ाइल के अन्य नामों को खोजने की आवश्यकता होगी।

चूंकि आप इसे एक परीक्षण सर्वर के रूप में वर्णित करते हैं, आप किसी भी डेटा को सहेजने और पुनः इंस्टॉल करके संभवतः बेहतर हैं। तथ्य यह है कि कार्यक्रम रूट के रूप में चल रहा है इसका मतलब है कि आप वास्तव में अब मशीन पर भरोसा नहीं कर सकते।

अद्यतन: हम अब जानते हैं कि फ़ाइल / tmp में है। चूंकि यह एक द्विआधारी है, तो कुछ विकल्प हैं, फ़ाइल को सिस्टम पर संकलित किया जा रहा है या इसे किसी अन्य सिस्टम पर संकलित किया जा रहा है। संकलक चालक के अंतिम उपयोग समय पर एक नज़र ls -lu /usr/bin/gccआपको एक संकेत दे सकता है।

स्टॉपगैप के रूप में, यदि फ़ाइल में एक स्थिर नाम है, तो आप इस नाम के साथ एक फ़ाइल बना सकते हैं, लेकिन संरक्षित है। मैं एक छोटी सी शेल स्क्रिप्ट का सुझाव दूंगा जो सभी वर्तमान प्रक्रियाओं को लॉग करती है और फिर लंबे समय तक सोती है बस जब भी कमांड चल रही हो, नौकरी का जवाब देती है। chattr +i /tmp/Carbonअगर आपका फाइल सिस्टम इसे अनुमति देता है तो मैं इसका उपयोग करूंगा क्योंकि कुछ लिपियों को पता चल जाएगा कि अपरिवर्तनीय फ़ाइलों से कैसे निपटना है।

Comments

मैं / tmp फ़ोल्डर के अंदर पूर्ण पथ पा सकते हैं। तो ऐसा लगता है कि यह किसी और चीज द्वारा बनाई गई है।

— हबीब उल्लाह बहार

पहले कुछ चरण बहुत उपयोगी नहीं हैं। आप मालवेयर लेखक पर अक्षम होने का भरोसा कर रहे हैं। कुछ हैं, लेकिन यह एक पैसा बनाने वाला है, वे सक्षम प्रोग्रामर को काम पर रख सकते हैं। ध्यान रहे, यह मैलवेयर बहुत अच्छी तरह से छिपा नहीं है।

— गिल्स एसओ- बुराई को रोकना '

@ गिल्स मैं मानता हूं कि मैं लेखक पर बहुत भरोसा करने की कोशिश नहीं कर रहा हूं क्योंकि मैंने अपने पहले वाक्य में कहा था। मैं प्रश्न का लिखित रूप में उत्तर दे रहा हूं, सामान्य नहीं how do I remove malware from my server।

— इकारस

@icarus ने स्टॉप गैप को ठीक करने का काम किया, धन्यवाद। लेकिन जैसा कि सभी ने सिफारिश की है, पहले से ही खरोंच से दूसरे सर्वर को फिर से बनाना शुरू कर दिया है।

— हबीब उल्लाह बहार

Answer 3

आपके सर्वर को प्रतीत होता है कि बिटकॉइन माइनर मालवेयर द्वारा समझौता किया गया है। सर्वरफॉल्ट थ्रेड @dhag पोस्ट देखें। साथ ही, इस पेज में इसके बारे में बहुत सारी जानकारी है।

ऐसा प्रतीत होता है कि जिसे "फाइललेस मालवेयर" कहा जाता है - आप चल रहे निष्पादन योग्य को नहीं ढूंढ सकते हैं क्योंकि आप ऐसा करने वाले नहीं हैं। यह आपकी सभी सीपीयू क्षमता का उपयोग कर रहा है, क्योंकि यह मेरा क्रिप्टोक्यूरेंसी का उपयोग कर रहा है।

Comments

मुझे लगता है कि यह बिटकॉइन नहीं बल्कि कुछ ऑल्ट-कॉइन को माइंस करता है।

— कोडइन्चोस

फाल्सवेयर मैलवेयर के बारे में जुड़ा हुआ पेज एक विंडोज़ प्रोग्राम के बारे में प्रतीत होता है, लेकिन यह सर्वर ubuntu चला रहा है।

— इकारस

यह मोनेरो को माइंस करता है।

— दिमित्री कुद्रियात्सेव