Вредоносное ПО для CentOS 7? - Пользователь "impress+" выполняет команду ("cron") с высокой загрузкой процессора

Мое первое предположение состоит в том, что вы потеряли загрузочную переменную NVRAM для Mint. Возможно, прошивка удалила его, когда заметила, что он относится к диску/SSD, которого больше нет в системе.

С помощью UEFI каждая операционная система может записать свою собственную спецификацию загрузчика в системный список загрузочных вещей. Спецификация включает в основном идентификатор GUID системного раздела EFI, содержащего загрузчик, и путь к файлу загрузчика. Для Mint путь, вероятно, будет примерно таким, как \EFI\Mint\grubx64.efi, так как он использует версию UEFI GRUB2.

Хитрость заключается в том, что вы можете получить доступ к этим загрузочным переменным UEFI из ОС... но только если эта ОС загружается в режиме UEFI. При использовании устаревшего режима загрузки службы времени выполнения UEFI -, необходимые для доступа к загрузочным переменным, будут отключены, чтобы система больше соответствовала устаревшим системам.

Для съемных носителей существует другое соглашение UEFI. :Если нет применимых загрузочных переменных UEFI или системе предлагается загрузиться в режиме UEFI с диска, который она никогда раньше не видела, тогда прошивка UEFI ищет раздел с файловой системой FAT32, который будет содержать файл с именем\EFI\BOOT\BOOTx64.efi(для 64 -битного оборудования x86; архитектуры ARM имеют собственные имена загрузочных файлов.)

Есть два способа исправить это:

1. )Получите доступ к диску Mint, используя любую операционную систему, которая способна понимать таблицу разделов GPT и файловую систему FAT32. Найдите файл загрузчика(\EFI\Mint\grubx64.efiили аналогичный )и скопируйте его в \EFI\BOOT\BOOTx64.efiна том же диске. Если каталог, содержащий исходный файл загрузчика, содержит что-либо похожее на файлы конфигурации, скопируйте и их.

Теперь UEFI должен распознавать диск как UEFI -загрузочный, даже если загрузочные переменные NVRAM исчезли. (Это может предотвратить повторное возникновение проблемы, если/когда вам придется снова поменять местами твердотельные накопители.)

2.)Загрузите систему в режиме UEFI в любую живую -среду Linux или аварийную среду. Найдите имя загрузочного файла и используйте команду efibootmgr, чтобы повторно -записать загрузочную переменную для Mint. Требуемая команда будет выглядеть примерно так:

# efibootmgr -c -d /dev/sdX -l \\EFI\\Mint\\grubx64.efi -L "Linux Mint"

Замените /dev/sdXна фактическое имя дискового устройства.:efibootmgrавтоматически найдет соответствующий GUID. Обратите внимание на двойную обратную косую черту в имени пути в стиле Windows -:. Это связано с тем, что обратная косая черта является специальным escape-символом для оболочки Linux. Последний параметр — это метка, которая может появляться в меню выбора загрузки и т. п.; вы можете написать любой короткий текст, который вы хотите.

1
13.02.2020, 16:05
1 ответ

К сожалению, мой сервер заражен ... =\

Часть выходных данных утилиты безопасности Chkrootkit(http://www.chkrootkit.org/)...

ПРИМЕЧАНИЕ :Информация подтверждена системным анализом!

[...]
Searching for Linux.Xor.DDoS... INFECTED: Possible Malicious Linux.Xor.DDoS installed
/tmp/.X19-unix/.rsync/c/lib/64/libc.so.6
/tmp/.X19-unix/.rsync/c/lib/64/libpthread.so.0
/tmp/.X19-unix/.rsync/c/lib/64/tsm
/tmp/.X19-unix/.rsync/c/lib/32/libc.so.6
/tmp/.X19-unix/.rsync/c/lib/32/libpthread.so.0
/tmp/.X19-unix/.rsync/c/lib/32/tsm
/tmp/.X19-unix/.rsync/c/lib/arm/libc.so.6
/tmp/.X19-unix/.rsync/c/lib/arm/libpthread.so.0
/tmp/.X19-unix/.rsync/c/lib/arm/tsm
/tmp/.X19-unix/.rsync/c/slow
/tmp/.X19-unix/.rsync/c/tsm
/tmp/.X19-unix/.rsync/c/watchdog
/tmp/.X19-unix/.rsync/c/run
/tmp/.X19-unix/.rsync/c/go
/tmp/.X19-unix/.rsync/c/tsm32
/tmp/.X19-unix/.rsync/c/tsmv7
/tmp/.X19-unix/.rsync/c/start
/tmp/.X19-unix/.rsync/c/tsm64
/tmp/.X19-unix/.rsync/c/stop
/tmp/.X19-unix/.rsync/c/v
/tmp/.X19-unix/.rsync/c/golan
/tmp/.X19-unix/.rsync/c/dir.dir
/tmp/.X19-unix/.rsync/c/n
/tmp/.X19-unix/.rsync/c/aptitude
/tmp/.X19-unix/.rsync/init
/tmp/.X19-unix/.rsync/init2
/tmp/.X19-unix/.rsync/initall
/tmp/.X19-unix/.rsync/a/anacron
/tmp/.X19-unix/.rsync/a/run
/tmp/.X19-unix/.rsync/a/stop
/tmp/.X19-unix/.rsync/a/a
/tmp/.X19-unix/.rsync/a/cron
/tmp/.X19-unix/.rsync/a/init0
/tmp/.X19-unix/.rsync/b/run
/tmp/.X19-unix/.rsync/b/stop
/tmp/.X19-unix/.rsync/b/a
/tmp/.X19-unix/.rsync/1
/tmp/.X19-unix/.rsync/dir.dir
[...]

ПРИНЯТЫЕ ДЕЙСТВИЯ:Уничтожить скомпрометированный сервер. Измените пароли «root» в локальной инфраструктуре. Измените пароли для пользователей, которые могут работать как «root».

СОВЕТ:Chkrootkit устанавливается и настраивается с помощью частного _инструмента tux (https://github.com/eduardolucioac/private_tux). Он устанавливает и настраивает утилиты безопасности и автоматически выполняет различные диагностики безопасности.

Раскрытие информации :Я автор приватного _смокинга.

-1
28.04.2021, 23:23

Теги

Похожие вопросы