TiSpark 被人添加了挖矿程序，该怎么清理？

Hacker_Z7JgkkPI · 2021 年8 月 17 日 02:54

刚才发现spark集群里又有挖矿程序了，已经第三次了，我们改过密码，做了白名单，但又发现了，这次我用systemctl status查看，发现它和tispark的worker是一起的

能排查下吗

undefined · 2021 年8 月 17 日 02:55

ls -rtl /proc/22395 COMMAND有点像

undefined · 2021 年8 月 17 日 02:57

看下定时任务:

su -u tidb && crontab -L

netstat -ntapl 看看有没有异常的的外网链接

Hacker_Z7JgkkPI · 2021 年8 月 17 日 03:00

没有异常定时，全是从这个网址wget

undefined · 2021 年8 月 17 日 03:01

应该是 tidb user 你这个是root

Hacker_Z7JgkkPI · 2021 年8 月 17 日 03:01

这两个

undefined · 2021 年8 月 17 日 03:02

https://segmentfault.com/a/1190000021794560

undefined · 2021 年8 月 17 日 03:03

感觉你们应该有可以上传jar包的地方而去还是弱口令

Hacker_Z7JgkkPI · 2021 年8 月 17 日 03:04

上次发生之后已经改成强口令了，

undefined · 2021 年8 月 17 日 03:09

没清理干净

Hacker_Z7JgkkPI · 2021 年8 月 17 日 03:10

好像是这样，我在搞一遍吧

s3nt3 · 2021 年8 月 19 日 03:13

spark 2.4.5 版本之前存在 RPC 认证绕过漏洞，可能导致远程代码执行，更早期的版本还有过 CVE-2018-11770 无效认证和 CVE-2017-12612 反序列化漏洞（详见：Security | Apache Spark），如果 spark 集群有反复中挖矿病毒的情况，建议排查一下 spark 版本是否受历史漏洞影响。

Hacker_Zero · 2021 年8 月 30 日 04:46

kdevtmpfsi一款恶意加密矿工，被识别为比特币矿工，下面的信息图说明了攻击的完整流程：

图像来源：https://blog.aquasec.com/threat-alert-kinsing-malware-container-vulnerability

将攻击的每个组件映射到相应的MITREAtt&ck 策略和技术类别：

1 kdevtmpfsi的目前有这几个扫描工具可以检测
kdevtmpfsi
ClamAV 25672 0.100.2 2019-12-23 PUA.Unix.Coinminer.XMRig-6683890-0
IKARUS 5.02.09 V1.32.39.0 2019-12-23 PUA.CoinMiner
NOD32 9846 4.5.15 2019-12-24 a variant of Linux/CoinMiner.AV potentially unwanted application
卡巴斯基(kavfs) 8.0.4.312 8.0.4.312 2019-01-25 Suspicious
奇虎360 1.0.1 1.0.1 2019-12-24 LINUX/Trojan.39d

2 如何查找和删除该矿工kdevtmpfsi (linux - kdevtmpfsi - how to find and delete that miner - Stack Overflow)
例如：你在 Linux (Ubuntu) 服务器进程中看到，名为： kdevtmpfsi . 它使用了所有 CPU 和 RAM 的 100%…
1）首先 - 关闭服务器上的 redis 端口或添加密码。
2）使用 .sh 指令从 crontab 命令中删除
3）从 docker/{{volume}}/_data 文件夹中删除散列文件
4）删除 tmp/kdevtmpfsi 文件

3 可以在你互联网出口添加以下IP地址和URL恶意外联 阻止访问

Hacker_Zero · 2021 年8 月 30 日 05:07

通过Iptables策略禁止找到的特定服务端IP：

iptables -A INPUT --src 193.33.87.219 -j DROP iptables -A INPUT --src 91.215.169.111 -j DROP iptables -A INPUT --src 45.10.88.102 -j DROP iptables -A INPUT --src 217.12.221.24 -j DROP iptables -A INPUT --src 217.12.221.244 -j DROP iptables -A INPUT --src 185.92.74.42 -j DROP iptables -A INPUT --src 142.44.191.122 -j DROP iptables -A INPUT --src 195.3.146.118 -j DROP

Hacker_Z7JgkkPI · 2021 年9 月 1 日 01:28

感谢大佬

Christophe · 2022 年1 月 22 日 02:23

这东西太难搞了，从crontab到看启动的端口，各种清理，最后还是没搞干净，过段时间又有了，只能摘了重新装了，大家有没有好的办法可以分享下。。。

数据小黑 · 2022 年1 月 24 日 00:55

我们的最佳实践是重新装，开防火墙，隔离网络，使用堡垒机访问，临时办法，清理过一遍之后，开防火墙我们感觉有点作用。

YuchongXU · 2022 年3 月 25 日 00:17

重新部署应用，配置防火墙策略，不行就断开外网。

system · 2022 年10 月 31 日 19:17

此话题已在最后回复的 1 分钟后被自动关闭。不再允许新回复。