linux挖礦木馬樣本下載

① 如何用Linux伺服器挖礦教程

今天早上起來一看，伺服器腳本一個都沒有啟動!甚是奇怪，遠程登錄伺服器，也是異常的卡，直到最後卡死，只好重新啟動伺服器!
啟動之後沒一會又會變卡，越來越卡，top查看進程！不覺又奇怪的進程，因為平常也不經常看！所以自己也搞不明白怎麼回事兒！只好到群里問了問，說是被挖礦的掛了木馬文件了，是由於redis的漏洞!
後來我自己發現，原來redis遠程可以直接登錄，原以為redis和mysql不開放登錄許可權就不會支持遠程登錄呢，看來是我想多了
看了好長時間才發現一個異常的進程，自啟的進程 molibe ！
找到進程位置 ps -ef|grep molibe ;
在tmp目錄下，打開一看的確是有
chmod -x molibe 取消執行許可權在來到/var/spool/cron下，cat root 查看定時器的執行發現之前腳本都被改了，顧不得刪除cron，service crond restart 重新啟動,再有就時kill 掉molibe進程
這樣大概整個就結束了！但是根本是因為redis漏洞，所以還是補上吧
首先修改redis'埠,找到redis.conf文件 port **** 修改埠號再有就是必須修改密碼 # requirepass ******** 去除#號重新啟動 /redis/src/redis-server /redis/redis-conf
啟動成功之後
redis/redis-cli -p ****(埠) -a *****(密碼)

② 伺服器被攻擊並植入kdevtmpfsi挖礦/病毒/木馬

MongoDB庫中的數據莫名其妙沒有了，發覺如下信息：

1、 top -d 5命令 ，查看系統負載情況、是否有未知進程，發現一個名為kdevtmpfsi的進程，經科普它是一個挖礦程序，會佔用伺服器高額的CPU、內存資源。如圖，CPU佔用率高達788.7%，而且是yarn用戶下：

2、 ps -ef |grep kdevtmpfsi 命令查看 該挖礦程序路徑：/tmp/kdevtmpfsi

3、 ps -ef |grep yarn 命令查看更多關於yarn相關進程信息（此時我的伺服器並沒有開啟yarn服務，如果有yarn的相關進程則可判斷是攻擊者開啟的進程），發現另外還有個kinsing進程，經科普kinsing進程是kdevtmpfsi的守護進程：

4、 netstat -lntupaa 命令查看是否有異常的ip,果然發現194.87.102.77這個陌生的ip，判斷是kdevtmpfsi的發出者：

5、經查詢該ip的所在國家是俄羅斯：

6、 find / -iname kdevtmpfsi 命令再次確定命令所在位置以便刪除：

7、 cd /tmp 進入相關目錄：

8、 rm -rf kdevtmpfsi 刪除kdevtmpfsi程序：

9、** kill -9 40422**殺掉kdevtmpfsi進程：

10、發現並沒殺掉所有kdevtmpfsi進程，再次查找yarn的相關進程（因為之前已確認病毒是在yarn下），果真還有kdevtmpfsi進程存在：

11、用命令 批量殺掉 相關進程：

12、刪除kinsing文件：

13、現在，已經把挖礦程序及相關進程刪除掉了，但是還有兩處沒做處理：

14、 crontab -l 命令先看看crontab的定時任務列表吧：

15、編寫刪除挖礦程序腳本 kill_kdevtmpfsi.sh ：

16、新增 定時任務 並刪除攻擊者的挖礦定時任務：

17、 crontab -l命令 查看現在只有殺進程的定時任務了：

18、禁止黑客的IP地址。

最初安裝MongoDB時，並未設置密碼認證，存在漏洞，導致黑客通過漏洞攻擊伺服器，並在程序里植入木馬/病毒。單純的kill -9 id殺掉病毒進程是殺不徹底的，治標不治本，應該定時刪除病毒進程，禁止攻擊者IP，重新安裝系統或相關軟體。

經過幾天的觀察，伺服器運行正常，再沒有被黑客攻擊成功。

③ 挖礦木馬是什麼

就是你電腦後台自行消耗顯卡與CPU資源的木馬病毒，這種木馬是看你電腦配置很高，後台自行挖礦，你一般看不出來，但是你顯卡或CPU佔用很高的。

④ one system care是什麼東西

是一種下載了會自動在電腦植入惡意挖礦木馬和修改用戶DNS配置強行插入廣告木馬的工具。不建議下載。

啟動腳本定時去執行請求URL，木馬作者只需要將URL設置成木馬可下載，用戶就會中招。

⑤ aleo挖礦教程

1.獲取子帳戶

在AleoX礦池挖掘之前，用戶需要生成一個子帳戶。Aleox將以您的名義自動分配一個子帳戶。在「我的礦工」頁面中查看您的子帳戶名稱。如果您需要添加或修改子帳戶信息，請點擊「子帳戶」頁面。

2.配置Aleo啟動參數

(1). nano run_gpu.sh

(2).nano run_cpu.sh

參數詳細信息：

「帳戶」參數是子帳戶名稱，用戶需要將其更改為自己的子帳戶；

「工人」參數是挖掘機名稱，可以由用戶自定義，命名規則為：最多可以是15個字元或更少，並且可以包含字母數字字元（字母A-Z，數字0-9）和符號。

「-g」參數是指定gpu卡（使用nvidia-smi-L命令行檢查終端上可用的gpu）。在這種情況下，有兩個gpu正在使用，以「-g 0」和「-g 1」表示。

「-j」參數是指定每個gpu執行的任務數量（嘗試通過手動瀏覽所有選項來達到最佳性能）。在這種情況下，每個gpu都在執行8個任務，這意味著有16個任務並行工作。

「-t」參數是指定每個cpu執行的任務數量（嘗試通過手動瀏覽所有選項來達到最佳性能）

在運行相應的腳本開始挖掘之前，請檢查您的所有信息輸入。

使用命令行Tail -f aleo.log檢查日誌是否正確連接。

3.確保你的采礦進展順利

登錄Aleox並進入「我的礦工」選項卡，以查看您在池中的帳戶統計數據。如果您有多個子帳戶，請使用下拉列表從不同的子帳戶切換，以分別查看采礦狀態。

⑥ 集後門木馬、挖礦腳本、勒索病毒於一身，這個ZIP壓縮文件厲害了

近日，白帽子黑客Marco Ramilli捕獲到了一封「奇特」的惡意電子郵件，其中包含一條鏈接，一旦點擊就會導致一個名為「pik.zip」的壓縮文件被下載。之所以說它奇特，是因為包含在這個ZIP文件中的JavaScript腳本文件採用了西里爾字母進行命名——被命名為「Группа Компаний ПИК подробности заказа」，翻譯過來就是「PIK集團公司訂單詳情」。

需要說明的是，目前使用西里爾字母的文字包括俄語、烏克蘭語、盧森尼亞語、白俄羅斯語、保加利亞語、塞爾維亞語和馬其頓語等，而PIK恰好就是俄羅斯的一家房地產公司，擁有超過1.4萬名員工。也就是說，攻擊者顯然試圖將電子郵件偽裝成來自PIK公司，從而藉助該公司的聲譽開展攻擊活動。

Marco Ramilli表示，攻擊者使用了多種混淆技術來對該腳本JavaScript進行混淆處理。其中，在感染第一階段階段存在兩個主要的混淆流：

該腳本最終會釋放並執行一個虛假的圖像文件「msg.jpg」，該文件實際上是一個經過UPX加殼的Windows PE文件，被用於感染的第二階段。

在感染的第二階段，三個額外的模塊會被釋放並執行：一個後門木馬、一個挖礦腳本和一種此前曾被廣泛報道過的勒索病毒——Troldesh。

分析表明，第一個被釋放的模塊（327B0EF4.exe）與Troldesh非常相似。該勒索病毒會在加密目標文件之後對其進行重命名並附加一個「.crypted00000」擴展名。舉例來說，當一個名為「1.jp」的文件在被加密之後，其文件名就會被重命名為「hmv8IGQE5oYCLEd2IS3wZQ==.135DB21A6CE65DAEFE26.crypted000007」。同時，Troldesh還會篡改計算機桌面的壁紙，以顯示勒索信息：

第二個被釋放的模塊（37ED0C97.exe）是被證實一個名為「nheqminer」的挖礦腳本，被用於挖掘大零幣（Zcash，一種加密貨幣）。

第三個安裝被釋放的模塊（B56CE7B7.exe）則被證實是Heur木馬，該木馬的主要功能是針對WordPress網站實施暴力破解，曾在2017年被廣泛報道。

根據Marco Ramilli的說法，該木馬的典型行為與HEUR.Trojan.Win32.Generic非常相似，包括：

一旦該木馬安裝成功，就會通過暴力破解來尋求弱口令憑證，而一旦發現了弱口令憑證，就將pik.zip復制到這些WordPress網站中。

Marco Ramilli認為，此次攻擊活動背後的攻擊者顯然試圖通過多種渠道來牟利——勒索病毒和加密貨幣挖礦腳本。此外，攻擊者還試圖通過受感染計算機來暴力破解並控制隨機的WordPress網站。這樣的攻擊活動工作量顯然非常大，且很容易被檢測到。因此，攻擊者不太可能是某個國家黑客組織，而只是一群想要同時通過多種方式來牟利的網路犯罪分子。

⑦ 挖礦木馬類型： virus.js.qexvmc.1 描述： 惡意軟體是對病毒、木馬、蠕蟲、後門程序等危害用戶計算機及

朋友你好，有些病毒在正常模式下是殺不掉的，你可以如下操作試試：（1）重啟後，F8 進帶網路安全模式（2）用360安全衛士依次進行：清除插件、清除垃圾、清除痕跡、系統修復、高級工具「開機啟動項管理」一鍵優化、使用「木馬查殺」殺木馬，用360殺毒全盤殺毒。如果還沒清除用下以方案：（3）重新啟動，F8 進帶網路安全模式（4）用360系統急救箱試一試 ，希望能幫助你

⑧ WannaMine挖礦木馬手工處理

關於病毒及木馬的問題，都說老生常談的了，這里就不講逆向分析的東西，網上畢竟太多。就寫一下WannaMine2.0到4.0的手工處理操作。確實，很多時候都被問的煩了。

WannaCry勒索與WannaMine挖礦，雖然首次發生的時間已經過去很久了，但依舊能在很多家內網見到這兩個，各類殺毒軟體依舊無法清除干凈，但可以阻斷外聯及刪除病毒主體文件，但依然會殘留一些。此種情況下，全流量分析設備依舊可以監測到嘗試外聯，與445埠掃描行為。

WannaCry 在使用殺毒軟體及手動清除攻擊組件所在目錄後，仍需手動cmd命令刪除兩個系統服務sc delete mssecsvc2.0與mssecsvc2.1。

WannaMine 全系使用「永恆之藍」漏洞，在區域網內快速傳播。且高版本會在執行成功後完全清除舊版本。

下圖為WannaCry與WannaMine使用的永恆之藍攻擊組件相關文件。

WannaMine2.0版本

該版本釋放文件參考如下：
C:
C:Windowssystem32wmassrv.dll
C:.dll
C:WindowsSystem32EnrollCertXaml.dll 刪除系統服務名與DLL文件對應的wmassrv。

WannaMine3.0版本

該版本釋放文件參考如下：

C:.xmlC:WindowsAppDiagnosticsC:WindowsSystem32TrustedHostex.exeC:WindowsSystem32snmpstorsrv.dll

需刪除主服務snmpstorsrv與UPnPHostServices計劃任務

WannaMine4.0版本

該版本釋放文件參考如下：

C:WindowsSystem32 dpkax.xsl

C:WindowsSystem32dllhostex.exe

C:.dll

C:.dll

C:WindowsSysWOW64dllhostex.exe

C:WindowsNetworkDistribution

<pre style="margin: 0px; padding: 0px; white-space: pre-wrap !important; overflow-wrap: break-word !important; max-width: 98%;">文件名隨機組合參考• 第一部分：Windows、Microsoft、Network、Remote、Function、Secure、Application •第二部分：Update、Time、NetBIOS、RPC、Protocol、SSDP、UPnP •第三部分：Service、Host、Client、Event、Manager、Helper、System •rdp壓縮文件隨機字元串後綴：xml、log、dat、xsl、ini、tlb、msc</pre>

關於Windows下計劃任務與啟動項查看方式，建議在使用PCHunter、Autoruns、ProcessHacker等工具無法發現異常的情況下，可以到注冊表下查看。

注冊表下排查可疑的計劃任務

HKEY_LOCAL_

發現可疑項可至tasks下查看對應ID的Actions值

HKEY_LOCAL_ asks[圖片上傳失敗...(image-e8f3b4-1649809774433)]

計劃任務文件物理目錄
C:

新變種病毒有依靠 WMI 類屬性存儲 ShellCode 進行攻擊，Autoruns可以用來檢查WMI與啟動項並進行刪除，在手動刪除病毒相關計劃任務與啟動項時，記得刪除相應的文件與注冊表ID對應項。

注冊表下查看開機啟動項
HKEY_CURRENT_或runOnce [圖片上傳失敗...(image-8a357b-1649809774432)]

⑨ 什麼是挖礦木馬

就是會讓你電腦自動挖礦的病毒
殺毒軟體直接殺毒不就得了么
安裝個電腦管家到電腦上
然後使用病毒查殺，對著你的電腦殺毒就行了