記一次挖礦病毒分析
*本文作者：lostCooky，本文屬 FreeBuf 原創獎勵計劃，未經許可禁止轉載
前言
上午接到同事通知，有客戶中了挖礦病毒，所以通過 ssh 登陸伺服器檢查，簡單記錄後遂有此文。
階段一：從發現指令碼到刪除指令碼
1、使用 top 命令檢視系統執行情況，發現多個名為sustse的程序佔用 cpu 資源過高。
2、使用 whereis sustse 和 which sustse 命令查詢此命令位置,發現未找到。
3、使用 find / -name sustse 命令查詢檔案是否存在,此時找到檔案在/var/tmp/sustse下面,且同目錄下面有另外兩個檔案
發現這個檔案時我就比較乾脆，結束程序，刪除檔案.但是沒一會程序有出現了。
階段二：從指令碼再次出現到徹底清除
1、使用命令 ps -anx | grep sustse 檢視與sustse相關的程序。此時我就懵了為啥刪除了檔案，還會出現呢。突然想起來之前打 CTF 是用的一種利用定時任務啟動的後門。
2、使用命令 crontab -l 檢視是否有定時任務，發現裡面有這個一條。
3、我比較直接，記錄下來後直接刪除，然後刪除檔案，結束程序。等待一會看看程序是否會再次啟動。一段時間後發現挖礦指令碼已經被清除。
階段三：指令碼分析
指令碼下載地址： ofollow,noindex" target="_blank">http://www.tionhgjk.com:8220/mr.sh
1、指令碼內容一
結束部分程序，刪除一些檔案。具體目的沒有搞懂，這裡做個猜測會不會是之前版本的地址發生了變化，現在要幹掉這些；
刪除一些檔案。
2、指令碼內容二
判斷檔案是否存在，如果存在就驗證sustse檔案的MD5值判斷這檔案是不是他的。如果不存在就給變數 DIR 賦值為”/var/tmp”
3、指令碼內容三
downloadIfNeed函式判斷是否需要下載sustse檔案，如果需要就呼叫 download 函式。
4、指令碼內容四
download 函式判斷 sustse3檔案是否存在或者sustse3檔案的 MD5值是否符合，不符合或者檔案不存在就呼叫 download2；
download2函式,判斷系統是不是64位，如果是就從 http://www.tionhgjk.com:8220/tte2 下載，下載位置在/var/tmp/sustse；
驗證 sustse 的MD5值，如果 MD5值符合，就改名為sustse3。
5、指令碼內容五
judge 函式下載 http://www.tionhgjk.com:8220/wt.conf 到/var/tmp/wc.conf；
使用nohup 啟動 sustse，且在後臺執行；
judge2函式，使用nohup 啟動 sustse，且在後臺執行。
6、指令碼內容六
使用 crontab 建立定時任務。
檢視sustse執行配置檔案
發現有一個 GitHub 地址，檢視之後發現是門羅幣的挖礦程式。查詢tionhgjk.com的註冊資訊發現域名的註冊日期是2018-10-06T19:45:40.00，但是沒有找到更多資訊。
至此結束！
*本文作者：lostCooky，本文屬 FreeBuf 原創獎勵計劃，未經許可禁止轉載