Странный сервис с именем «Carbon» работает каждый день и занимает 100% CPU

Последние несколько недель на моем тестовом сервере Ubuntu происходила странная активность. Пожалуйста, проверьте скриншот ниже от htop. Каждый день этот странный сервис (который выглядит как сервис майнинга криптовалют) работает и занимает 100% процессорного времени.

Мой сервер доступен только через ключ ssh, и пароль был отключен. Я пытался найти любой файл с этим именем, но не смог найти.

Можете ли вы помочь мне со следующими вопросами

Как найти местоположение процесса по идентификатору процесса?
Как мне полностью удалить это?
Любая идея, как это может попасть на мой сервер? Сервер запускает в основном тестовую версию нескольких развертываний Django.

ubuntu security process

— Хабиб Улла Бахар
источник

Ваша система заражена тем, что мы называем Монетным рудником .

— LinuxSecurityFreak

Это не отвечает на все ваши вопросы, но может быть актуальным: serverfault.com/questions/218005/…

— dhag

Вот ссылка, которая описывает, как работает эта безфайловая вредоносная программа. Основываясь на этом сайте, я думаю, что ваш сервер должен быть отформатирован: csoonline.com/article/3227046/malware/…

— F.Jawad

Обратите внимание, что в дополнение к очистке, которая обычно означает переустановку, вам также необходимо исправить уязвимость . В противном случае он вернется.

— Жиль "ТАК - перестань быть злым"

Этот процесс является переименованной версией популярной программы майнинга. Это майнинг Монеро в пул xmr.crypto-pool.fr. Найдите длинную строку, начинающуюся с 4, на этом сайте, она должна подсказать масштаб майнинга злоумышленника.

— Дмитрий Кудрявцев

Ответы:

Как объясняют другие ответы, это вредоносная программа, которая использует ваш компьютер для майнинга криптовалют. Хорошей новостью является то, что вряд ли он будет делать что-то еще, кроме использования вашего процессора и электричества.

Вот немного больше информации и что вы можете сделать, чтобы дать отпор, когда вы избавитесь от этого.

Вредоносная программа добывает altcoin под названием monero в одном из крупнейших пулов monero , crypto-pool.fr . Этот пул является законным, и они вряд ли являются источником вредоносного ПО, а не тем, как они зарабатывают деньги.

Если вы хотите раздражать любого, кто написал эту вредоносную программу, вы можете связаться с администратором пула (на странице поддержки их сайта есть электронное письмо). Они не любят бот-сети, поэтому, если вы сообщите им адрес, используемый вредоносной программой (длинная строка, начинающаяся с 42Hr...), они, вероятно, примут решение приостановить платежи по этому адресу, что сделает жизнь хакера, написавшего этот фрагмент. из ш .. немного сложнее.

Это также может помочь: как я могу уничтожить вредоносное ПО на экземпляре AWS EC2? (скомпрометированный сервер)

— assylias
источник

Как бы мне ни нравилась идея наказать хакера, я не уверен, что рекомендую делать это, когда у указанного хакера, очевидно, есть доступ к компьютеру, так как может быть ответный удар. Я бы посоветовал сначала обеспечить безопасность активов (резервное копирование!), Как минимум.

— Матье М.

Это зависит от того, сколько неприятностей уходит программе, чтобы скрыть, откуда она запускается. Если это не слишком много, то

Начните с идентификатора процесса, 12583на скриншоте
использовать ls -l /proc/12583/exeи он должен дать вам символическую ссылку на абсолютный путь, который может быть аннотирован(deleted)
проверьте файл по пути, если он не был удален. Обратите внимание, в частности, если количество ссылок равно 1. Если это не так, вам нужно будет найти другие имена для файла.

Поскольку вы описываете это как тестовый сервер, вам, вероятно, будет лучше, если вы сохраните все данные и переустановите их. Тот факт, что программа работает от имени пользователя root, означает, что вы действительно не можете доверять машине.

обновление: теперь мы знаем, что файл находится в / tmp. Поскольку это двоичный файл, существует несколько вариантов: файл компилируется в системе или компилируется в другой системе. Взгляд на время последнего использования драйвера компилятора ls -lu /usr/bin/gccможет дать вам подсказку.

В качестве временного интервала, если файл имеет постоянное имя, вы можете создать файл с этим именем, но защищенный от записи. Я бы предложил небольшой сценарий оболочки, который регистрирует все текущие процессы и затем долгое время спит на тот случай, если какая-либо команда запускает задание заново. Я хотел бы использовать, chattr +i /tmp/Carbonесли ваша файловая система позволяет это, так как немногие скрипты будут знать, как работать с неизменяемыми файлами.

— Икар
источник

Я мог бы найти абсолютный путь в папке / TMP. Так что, кажется, это создается чем-то другим.

— Хабиб Улла Бахар

Первые несколько шагов не очень полезны. Вы полагаетесь на то, что автор вредоносного ПО некомпетентен. Некоторые из них, но этот является источником денег, они могут нанять компетентных программистов. Имейте в виду, эта вредоносная программа не очень хорошо скрывается.

— Жиль "ТАК - перестань быть злым"

@ Жиль Я согласен, что я полагаюсь на автора, который не очень старается, как я сказал в моем первом предложении. Я отвечаю на вопрос как написано, а не на общий how do I remove malware from my server.

— Икар

@icarus мера остановки разрыва работала хорошо, спасибо. Но, как всем рекомендовано, уже начали перестраивать другой сервер с нуля.

— Хабиб Улла Бахар

Похоже, что ваш сервер был взломан вредоносным ПО BitCoin. Смотрите ветку ServerFault @dhag опубликовано. Также эта страница есть много информации об этом.

Похоже, это то, что называется «безфайловой вредоносной программой» - вы не можете найти исполняемый файл, потому что вы не должны. Он использует всю мощность вашего процессора, потому что использует его для майнинга криптовалюты.

— Тэннер Бэбкок
источник

Я бы предположил, что он добывает какую-то альт-монету, а не сам биткойн.

— CodesInChaos

Похоже, что связанная страница о вредоносных программах без файлов посвящена программе Windows, но этот сервер работает под управлением Ubuntu.

— Икар

Это мины Монеро.

— Дмитрий Кудрявцев