Linux-сервер, скомпрометированный майнером Monero (xmrig) – как определить точку входа и постоянство [закрыто] ⇐ Linux

[Anonymous]

Я обнаружил, что мой Linux-сервер был взломан и использовался для майнинга криптовалюты Monero (XMR) без моего согласия.




Наблюдаемое поведение

• Загрузка ЦП внезапно резко возрастает до 180–200 %
• Запускается несколько неизвестных процессов (например, xmrig, rbot)
• Процессы возобновляются после завершения
• Трафик для майнинга подключается к общедоступным пулам Monero
• Майнер запускается под пользователем без полномочий root, а не через Node.js или PM2

Найдены доказательства

• Двоичные файлы Miner присутствуют в:
  

  Код: Выделить всё

  /tmp

• Домашний каталог пользователя

[*]Конфигурация майнинга (

Код: Выделить всё

config.json

), указывающие на пулы Monero

[*]Подозрительные системные таймеры не обнаружены

[*]Нет очевидных заданий cron (корневой crontab выглядит чистым)


То, что я уже проверил

• Код: Выделить всё

  ps aux

  , сверху, сверху

• Код: Выделить всё

  crontab -l

  (root + пользователь)

• Код: Выделить всё

  systemctl list-timers

• Код: Выделить всё

  /tmp

  , /dev/shm
• Журналы SSH (без явных попыток перебора)

Среда

• Ubuntu Linux (облачный VPS)
• Приложение Node.js / Next.js
• MongoDB работает
• Доступ по SSH ограничен, но сервер доступен в Интернете

Подробнее здесь: https://stackoverflow.com/questions/798 ... ry-point-a