小鸡中挖矿病毒怎么解决

rwind

Tasks:  98 total,   3 running,  95 sleeping,   0 stopped,   0 zombie
%Cpu(s): 90.7 us,  9.1 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.2 si,  0.0 st
MiB Mem :   2010.9 total,   1161.1 free,    780.8 used,     69.0 buff/cache
MiB Swap:   2048.0 total,   1973.2 free,     74.8 used.   1116.3 avail Mem

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND
11841 postgres  20   0  672620 270984   2604 S 270.3  13.2  53:01.32 [kthreaddi]
4559 postgres  20   0 1476256  83208      4 S  26.7   4.0   5:47.37 nqig1s5p
  419 root      20   0    6432   1764   1576 S   0.3   0.1   8:30.45 qemu-ga
16214 root      20   0    6644   3236   2988 S   0.3   0.2   0:01.61 bash
16965 postgres  20   0   11080   3516   2940 R   0.3   0.2   0:00.90 top
27960 root      20   0   16948   5388   3960 R   0.3   0.3   0:10.89 sshd
    1 root      20   0  170520   5336   3612 S   0.0   0.3   0:12.64 systemd
    2 root      20   0       0      0      0 S   0.0   0.0   0:00.02 kthreadd
    3 root       0 -20       0      0      0 I   0.0   0.0   0:00.00 rcu_gp
    4 root       0 -20       0      0      0 I   0.0   0.0   0:00.00 rcu_par_gp

kill 掉进程也不行
定时任务删了又添加定时任务运行


除了重装还能怎么解决

cancan

怎么中的 我想会会这个病毒。

冲浪麦浪花郎

systemd

rwind

cancan 发表于 2021-6-11 20:24
怎么中的 我想会会这个病毒。

postgresql 数据库 弱密码

rwind

h20 发表于 2021-6-11 20:23
除了重装还是重装

h20 上班了 永远第一膜拜

gyjys43043

应该是有rootkit驻留

需要上传这个挖矿程序，导出给内存镜像发出来研究下

这个是内存导出工具
https://github.com/microsoft/avml

rwind

gyjys43043 发表于 2021-6-11 20:29
应该是有rootkit驻留

需要上传这个挖矿程序，导出给内存镜像发出来研究下

暂时好像解决

postgres  4559 14.1  4.6 1476256 94904 ?       Sl   07:39   6:17 /var/lib/postgresql/11/main/pg_dynshmem/nqig1s5p
这个进程好像是守护进程。。我先去备份业务数据先

KuYeHQ

重装吧，我弱密码被破解了，挖矿进程都找不到，卡的一批

gyjys43043

rwind 发表于 2021-6-11 20:49
暂时好像解决

postgres  4559 14.1  4.6 1476256 94904 ?       Sl   07:39   6:17 /var/lib/postgresql ...

挖矿程序发出来给大家研究下呗