.dhpcd 挖矿程序

64次阅读

共计 970 个字符，预计需要花费 3 分钟才能阅读完成。

最近杜甫上出现了一个.dhpcd 名称的文件, 直接占用 50% CPU, 上网一查才知道是挖矿病毒, 国内有一台机器和这杜甫用一样的脚本安装的环境, 结果国内的机器就没有只有杜甫有, 机器用过 jerry048 的一键盒子配置脚本,bt.sy 的宝塔破解版脚本总共就这两个脚本还有一个自己编译的 ServerStatus 不知道坛子里的其他坛友有没有遇到过这问题

多了一个 ssh 密钥

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCuhPmv3xdhU7JbMoc/ecBTDxiGqFNKbe564p4aNT6JbYWjNwZ5z6E4iQQDQ0bEp7uBtB0aut0apqDF/SL7pN5ybh2X44aCwDaSEB6bJuJi0yMkZwIvenmtCA1LMAr2XifvGS/Ulac7Qh5vFzfw562cWC+IOI+LyQZAcPgr+CXphJhm8QQ+O454ItXurQX6oPlA2rNfF36fnxYss1ZvUYC80wWTi9k2+/XR3IoQXZHKCFsJiwyKO2CY+jShBbDBbtdOX3/ksHNVNStA/jPE0HYD7u6V2Efjv9K+AEbklMsytD9T60Iu3ua+ugBrP5hL7zAjPHpXH8qW4Ku7dySZ4yvH

复制代码

多了一个用户 admin

网友回复：

注册：虽然没遇到过，但帮顶，希望更多人看到

Southcat： root 密码可以放心随机生成的已经遇到过两次了

ahiven： 2023-02-10 15:45:13 Debian-1106-bullseye-amd64-base CRON[38112]: (admin) CMD (/home/admin/.dhpcd -o pool.supportxmr.com:80 -B >/dev/null 2>/dev/null) 定时任务日志, 很奇怪查不到 admin 这个用户的登录日志, 应该是删除了

Southcat：看来是埋了后门了。。

Southcat：同样的脚本部署在两台机器上就这台杜甫一直出问题, 还挑机器下手

ahiven：它都给你新建了一个用户，说不定监控着你的机子呢。。

Southcat： bt.sy 安装完，开系统加固试试

ahiven：之前发现过一次然后删除文件没动用户等了半个月也没再有动静了

正文完