Cyberpanel и биткойн мaйнъри

[Pok4]

Здравейте,
Последните ми клиенти са жертва на cpu minner през https://xmrig.com/. Htop показва, че от 20 дни има копачка като процес, като са стартирани 2 процеса на VPS-a и 2-та работят на 100% CPU и всеки взима по 300мб рам.
Намерихме къде се намира копача, но не може да се трие (защото процеса работи). Намира се в /root/ папката на техния VPS (UBUNTU 20)
Пробвахме всякакви начини, но не става, писахме и на съпорта, но чакаме отговор.
В нета като се напише cyberpanel xmrig има няколко теми.
ВНИМАВАЙТЕ! Това чудо не ви трябва, по-добре сложете Hestia или някой друг вариант и ги сваляйте от главните сайтове, а не от трети такива...

Само го споделям, не търсим решение, то решението е най-добре цялата машина да се преинсталира. VPS-a е Unmanaged и най-вероятно няма да помогнат, но клиентите ми са съгласни, ако успеят да оправят проблема да не преинсталират, а само да сменят паролите на всичко...
Имайте едно на ум за този панел...

 

[ReCoNeC7eD]

но клиентите ми са съгласни, ако успеят да оправят проблема да не преинсталират, а само да сменят паролите на всичко...

Много е рисково да не се преинсталира системата след privilege escalation attack.
Не се знае какви други файлове за променени.
2023 е и най вероятно използвате SSH ключове за достъп. Добре е ако е имало private key на сървъра също за да се преправят.

Пробвайте да намерите какво локва процеса.

sudo lslocks | grep <FILE_NAME>
sudo kill -9 $PID

За напред един съвет, след конфигурация винаги е добре се сложи и ползва TripWire

GitHub - Tripwire/tripwire-open-source: Open Source Tripwire®

Open Source Tripwire®. Contribute to Tripwire/tripwire-open-source development by creating an account on GitHub.

github.com

 

[Pok4]

Успяхме да го спрем, но след рестарт се пуска пак и не дава да се трият файловете.
Първо пуснахме systemctl и преровихме всичко и го видяхме..
Спряхме го с:
systemctl stop c3pool_miner
И 2-та процеса спряха и се нормализира, но не можем да изтрием папката с файловете..

 

[ReCoNeC7eD]

Успяхме да го спрем, но след рестарт се пуска пак и не дава да се трият файловете.

Пробвай това

# спри атвоматичен старт след рестарт на ОС
sudo systemctl disable <service-name>
# забрани за сервис изобщо де се пуска
sudo systemctl mask <service-name>

 

[Pok4]

Стана!
sudo systemctl disable c3pool_miner
Благодаря!

 

[Ticketa]

Това, че е спрян нищо не означава - отново биха повторили.

По-добре направете пълен одит на системата и направо ъпдейт на всичко до последно коляно. Вероятно някъде има уязвимост, която позволява да се имплементира майнер и в бъдеще, ако не е решен проблема отново ще се случи.

 

[Pok4]

Ние вече преинсталирахме с Ubuntu 22 и Hestia CP. За сега е ок всичко.