新型比特币挖矿病毒分析与清除指南

一、病毒概述

该病毒是一种新型的比特币挖矿恶意程序，具有以下特征：

• 通过弱口令爆破SSH服务入侵系统
• 获得root权限后部署挖矿程序
• 使用crontab定时任务实现持久化
• 挖矿程序路径为/var/tmp/.lopata/xmrig
• 难以通过常规kill命令终止

二、入侵途径分析

1. 初始入侵方式

• 攻击者通过SSH弱口令爆破获得服务器访问权限
• 被入侵账户具有sudo权限，可提升至root权限
• 攻击者会删除安全日志(/var/log/secure)以隐藏入侵痕迹

2. 入侵检测方法

检查最近登录记录：

cd /var/log
last

若发现可疑登录记录而用户否认，可能已被入侵。

三、病毒工作机制

1. 文件结构

病毒在/var/tmp/.lopata/目录下部署三个关键文件：

• xmrig：挖矿程序本体
• 1：挖矿脚本
• run：持久化脚本

2. 挖矿脚本分析(1文件内容)

if ! pgrep -x "xmrig"; then
    /var/tmp/.lopata/./xmrig -o [矿池地址] -u [钱包地址]
fi

该脚本检查xmrig进程是否运行，若未运行则启动挖矿程序。

3. 持久化机制(run文件内容)

• 检查crontab中是否已存在相关任务
• 若不存在，则写入定时任务：

  @daily /var/tmp/.lopata/1
  @reboot /var/tmp/.lopata/run
  @monthly /var/tmp/.lopata/1
  

• 通过crontab实现：
  • 每天执行挖矿脚本
  • 每次重启执行run脚本
  • 每月执行挖矿脚本

四、病毒清除步骤

1. 删除病毒文件

rm -rf /var/tmp/.lopata/

2. 清除crontab定时任务

查看root用户的crontab：

crontab -u root -l

编辑并删除恶意条目：

crontab -u root -e

(使用nano/vim等编辑器删除相关行后保存)

3. 终止挖矿进程

kill -9 $(pgrep xmrig)

4. 后续防护措施

1. 修改所有用户密码为强密码
2. 限制sudo权限，仅必要用户拥有
3. 配置SSH禁止密码登录，改用密钥认证
4. 安装并配置防火墙，限制SSH访问IP
5. 定期检查系统日志和进程

五、经验总结

1. 不要使用弱口令：这是本次入侵的根本原因
2. 谨慎分配sudo权限：最小权限原则
3. 定期检查系统：监控异常进程和资源占用
4. 备份重要日志：防止攻击者删除日志掩盖行踪
5. 了解crontab风险：定时任务常被恶意软件利用

通过以上步骤可彻底清除该挖矿病毒，恢复系统正常运作，而无需重装系统。