Suspected exploit log_rotari2

Boris Zinchenko

12:24, 10/01/2023

Recently performance of my Ubuntu 18 server heavily degraded. I found in process list the following process, which consumes all CPU of my server.

./log_rotari2 --coin monero -o suxsuxsux.com:3333 -u linux -p linux --nicehash --donate-level=1 --cpu-priority=5 --cpu-no-yield -k -B

Maybe somebody knows what it is and how to remove this process? Sorry my knowlege of Ubuntu is very limited. Thank you.

Update: System is Ubuntu Linux 18.04.5, Linux 4.15.0-156-generic on x86_64

Following valuable comments, I found this extra info about this process.

Current dir Directory   4096    2   /  
Root dir    Directory   4096    2   / 
Program code    Regular file    6289312 19267940    /tmp/xmrig-6.14.1/log_rotari2 (deleted) 
2u  Regular file    1807    19141142    /tmp/#19141142 (deleted)

It seems that the process has been created and then its executable was deleted from the disk. I cannot even find executable file.

156

0 + 0

ngành kiến trúc

guiverc

12:27, 10/01/2023

Ubuntu 18? Không có bản phát hành nào như vậy, vậy ý bạn là sản phẩm máy chủ Ubuntu Core 18 phải không? Các sản phẩm Ubuntu sử dụng định dạng *năm* khác với các sản phẩm định dạng *năm.tháng* phổ biến hơn.

Hồi đáp

Rinzwind

12:30, 10/01/2023

https://forums.docker.com/t/redis-alpine-malware/105143 https://blog.aquasec.com/container-attacks-on-redis-servers

Hồi đáp

Rinzwind

12:32, 10/01/2023

Chỉ có một câu trả lời đúng: cài đặt lại từ phương tiện cài đặt sạch. Loại bỏ chủ đề không phải là một giải pháp. Tài khoản quản trị viên của bạn sẽ được coi là bị lộ và có thể có một tập lệnh trên hệ thống của bạn được chôn trong một tập lệnh khác đang chờ bạn xóa nó :)

Hồi đáp

Alejandro

12:34, 10/01/2023

Nó trông giống như một số loại bot khai thác tiền điện tử, nhưng rất khó để đánh giá nếu không có thêm thông tin chi tiết. Nếu bạn biết `pid` của quy trình (ví dụ: từ lệnh `top`), bạn có thể tìm đường dẫn đến tệp thực thi bằng cách chạy `sudo ls -l /proc/xxxxxx/exe` trong đó `xxxxxx` là `pid ` của quá trình. Sau đó, bạn sẽ có thể loại bỏ tệp thực thi. (*Tuy nhiên* Tôi đồng ý với @Rinzwind và tôi khuyên bạn nên cài đặt sạch.)

Hồi đáp

Rinzwind

12:36, 10/01/2023

@Alejandro nó thực sự trông giống như một công cụ khai thác nhưng 2 liên kết sử dụng cùng một `log_rotari2` để thực hiện một ddos :) Và điều đó khiến tôi tin rằng nó còn hơn cả một công cụ khai thác

Hồi đáp

Phan Văn Trường

Câu hỏi này là trong các ngôn ngữ khác:

EN: Suspected exploit log_rotari2

TH: Suspected exploit log_rotari2

RO: Suspected exploit log_rotari2

RU: Suspected exploit log_rotari2

VI: Suspected exploit log_rotari2

Đăng câu trả lời

Hầu hết mọi người không hiểu rằng việc đặt nhiều câu hỏi sẽ mở ra cơ hội học hỏi và cải thiện mối quan hệ giữa các cá nhân. Ví dụ, trong các nghiên cứu của Alison, mặc dù mọi người có thể nhớ chính xác có bao nhiêu câu hỏi đã được đặt ra trong các cuộc trò chuyện của họ, nhưng họ không trực giác nhận ra mối liên hệ giữa câu hỏi và sự yêu thích. Qua bốn nghiên cứu, trong đó những người tham gia tự tham gia vào các cuộc trò chuyện hoặc đọc bản ghi lại các cuộc trò chuyện của người khác, mọi người có xu hướng không nhận ra rằng việc đặt câu hỏi sẽ ảnh hưởng—hoặc đã ảnh hưởng—mức độ thân thiện giữa những người đối thoại.