[Linux] kill해도 반복하여 실행되는 프로세스 문제해결 (feat. syst3md의 miner)

linux에서 htop 명령어로 CPU 사용량을 체크해보니 300%가량 돌아가고 있는 것이 보였다. 돌리고 있는 프로그램은 존재하지 않았다. 프로세스를 kill (pid) 명령어로 처리하였음에도 반복되어 다른 pid로 실행되었다. 찾아보니 악성코드의 문제였다. 해결책은 바이러스 파일을 지우고 방화벽 처리 후 프로세스를 kill하면 되었다.

1. 먼저 htop을 통해 pid와 실행되는 경로를 확인한다.

$ htop

출처 : (https://ko.linux-console.net/?p=546)

맨 왼쪽에 PID가 있고 맨 오른쪽에 경로가 있음을 확인한다. 악성코드의 경로는 필자의 경우 /usr/bin/game/…/…/.miner 와 같은 형태였다.


2. 리눅스 크론탭을 통해 반복되는 task를 확인한다. (크론탭은 특정 시간에 특정 작업을 하도록 하는 명령어다.)

$ crontab -l

필자는 다음과 같은 3줄이 나왔다.

$ crontab -e

위의 명령어를 통해 크론탭을 편집할 수 있는 첫 번째 줄만 일단 지웠다.


3. 해당하는 바이러스 파일을 지운다. (이 과정은 생략해도 프로세스는 다시 살아나지 않는다. 필자는 하지 않았다.)

$ rm /usr/game/.../.../miner

4. 방화벽을 설치한다. 악성코드가 추가적으로 들어오지 못하도록 조치하는 것이다.

$ sudo ufw status (상태 확인) $ sudo ufw enalbe (활성화) $ sudo ufw allow from 12.34.56.78 (특정 ip - 12.34.56.78 만 허용)

5. 해당하는 pid를 kill한다.

$ sudo kill (pid)

해결되었다.


참고자료
https://www.programmerall.com/article/93392274749/

Killing mining virus SYST3MD - Programmer All

-히비스서커스-