挖矿病毒kdevtmpfsi查杀经历

问题简介

  • 服务器: 阿里云主机服务器
  • 系统: Centos7
  • 表现: kdevtmpfsi进程占用400%(8核心处理器)CPU
  • 时间: 2020-01-07报警, 2020-01-08处理

查杀经过

  • 使用clamscan命令搜索所有文件, clamav详情见我之前的博客clamav安装与杀毒

    1
    nohup clamscan / -r --infected -l clamscan.log > clamscan.out &
    • 注：这一步比较花时间

  • 查看扫描结果

    1
    cat clamscan.log | grep FOUND

    /var/lib/docker/overlay/bdd049c71596d743907224a8dd6fdb3fb4ca76e3af8dfd6eee2d034de2be45a1/merged/tmp/kdevtmpfsi: Multios.Coinminer.Miner-6781728-2 FOUND
    /var/lib/docker/overlay/bdd049c71596d743907224a8dd6fdb3fb4ca76e3af8dfd6eee2d034de2be45a1/merged/tmp/red2.so: Unix.Trojan.Gafgyt-6981174-0 FOUND
    /var/lib/docker/overlay/bdd049c71596d743907224a8dd6fdb3fb4ca76e3af8dfd6eee2d034de2be45a1/upper/tmp/kdevtmpfsi: Multios.Coinminer.Miner-6781728-2 FOUND
    /var/lib/docker/overlay/bdd049c71596d743907224a8dd6fdb3fb4ca76e3af8dfd6eee2d034de2be45a1/upper/tmp/red2.so: Unix.Trojan.Gafgyt-6981174-0 FOUND

  • 删除这四个文件,这里直接到相关目录下查看发现../tmp目录下往往都是病毒文件(与kinsing相关,全部删除)

  • top查看CPU信息确定挖矿进程kdevtmpfsi的进程号[pid]

  • 确定启动信息中启动命令,并删除(在这里查到的信息是文件已经被删除了)

    1
    ls /proc/[pid] -ali

  • 查找父进程进程号

    1
    systemctl status [pid]

    ● docker-be9fcab033e6158f8ff7d6ac07d28cfd918375178c27e016aa800cbeef985161.scope - libcontainer container be9fcab033e6158f8ff7d6ac07d28cfd918375178c27e016aa800cbeef985161
    Loaded: loaded (/run/systemd/system/docker-be9fcab033e6158f8ff7d6ac07d28cfd918375178c27e016aa800cbeef985161.scope; static; vendor preset: disabled)
    Drop-In: /run/systemd/system/docker-be9fcab033e6158f8ff7d6ac07d28cfd918375178c27e016aa800cbeef985161.scope.d

          └─50-BlockIOAccounting.conf, 50-CPUAccounting.conf, 50-DefaultDependencies.conf, 50-Delegate.conf, 50-Description.conf, 50-MemoryAccounting.conf, 50-Slice.conf

    Active: active (running) since Mon 2019-11-11 11:24:17 UTC; 1 months 27 days ago

      Tasks: 38

    Memory: 2.3G
    CGroup: /system.slice/docker-be9fcab033e6158f8ff7d6ac07d28cfd918375178c27e016aa800cbeef985161.scope

          ├─ 4475 redis-server *:6379
      ├─ 8528 sh -c /tmp/.ICEd-unix/vJhOU
      ├─ 8529 /tmp/.ICEd-unix/vJhOU
      └─22822 /tmp/kdevtmpfsi

    Warning: Journal has been rotated since unit was started. Log output is incomplete or unavailable.

  • 杀死不需要的相关进程,如上面的4475,8528, 8529, 22822

  • 查看是否还有需要杀死的进程,如果有,则杀死该进程

    1
    ps -ef | grep kinsing

  • top确定挖矿进程已经被杀死

总结

  • 查杀病毒两个小时未发现服务器有明显异常
  • 第二天出现了,需要进一步查看,重启机器后问题没有再出现

AMA是什么？

  • 仿射最大化拍卖（Affine Maximizer Auction, AMA）是一种机制设计，它旨在最大化卖家的收益同时确保买家在占优策略下报价（DSIC，Dominant Strategy Incentive Compatible）和个体理性（IR，Individually Rational）。AMA是Vickrey-Clarke-Groves (VCG) 拍卖的一种泛化形式

分配规则

  • 假设有 \(n\) 个买家竞拍一个位置，给定买家出价 \( B \)，以及一组预定义的分配方案菜单 \( \mathcal{A} \)，AMA选择一个分配方案 \( A^* \in \mathcal{A} \)，使得如下仿射福利函数最大：
    $$ A^* = \arg\max_{A \in \mathcal{A}} \left( \sum_{i=1}^{n} w_i \cdot u_i(A, B) + \lambda(A) \right) $$
    • \( w_i \) 是买家 \( i \) 的权重，\( w_i \in \mathbb{R}_{+} \)；
    • \( u_i(A, B) \) 是买家 \( i \) 在分配方案 \( A \) 下根据出价 \( B \) 计算的效用。在其他商家出价不变时， \( u_i(A, B) \) 是关于商家自身出价 \(b_i\) 是非减函数；
    • \( \lambda(A) \) 是对每个分配方案 \( A \) 的增强变量（也称为仿射项），它是一个实数值

计费规则

  • 对于每个买家 \( k \)，其需要支付的价格 \( p_k \) 为她在其他买家出价情况下所带来的外部性。具体来说，买家 \( k \) 需要支付的价格为：
    $$ p_k = \sum_{i \neq k} w_i \cdot u_i(A_{-k}^*, B_{-k}) + \lambda(A_{-k}^*) - \left( \sum_{i \neq k} w_i \cdot u_i(A^*, B) + \lambda(A^*) \right) $$
    • \( A_{-k}^* \) 是去除买家 \( k \) 后最大化其他人仿射福利的分配方案；
    • \( B_{-k} \) 表示除买家 \( k \) 外所有买家的出价集合；
    • \( A^* \) 是包括买家 \( k \) 在内的最优分配方案
  • 计费规则分析：
    • 这个价格计算方法下，如果其他买家的出价保持不变，保证了即使买家 \( k \) 改变她的出价，也不会影响她实际需要支付的价格
    • 此外，由于买家的真实估值不会导致负效用，所以这个机制也是个体理性的（IR）

AMA 和 VCG的比较

  • Vickrey-Clarke-Groves (VCG) 机制：核心目标是最大化社会福利 ，而不是直接优化卖家的收益，其分配规则选择使总效用最大化的方案，支付规则基于买家对其他买家造成的外部性来计算
  • Affine Maximizer Auction (AMA)机制：核心目标是最大化放射函数 ，AMA是VCG机制的一种泛化形式，它引入了仿射项（affine term）和权重参数，从而允许更灵活地设计拍卖规则，由于引入了仿射项 \( \lambda(A) \)，AMA可以在保持DSIC的同时，通过适当选择 \( \lambda(A) \) 来提高卖家的收益
  • 从理论上讲，AMA的收益上限不低于VCG ，因为：
    • VCG机制是AMA的一个特例，当 \( w_i = 1 \) 且 \( \lambda(A) = 0 \) 时，AMA退化为VCG
    • AMA通过调整 \( w_i \) 和 \( \lambda(A) \)，可以在保持DSIC的同时探索更大的收益空间
  • 实际收益取决于具体的买家估值分布、市场环境以及机制设计的细节：
    • 如果买家估值分布较为均匀，VCG机制通常已经接近最优收益，AMA的优势可能不明显
    • 如果买家估值分布不均匀或市场存在不对称性，AMA可以通过调整 \( \lambda(A) \) 来更好地提取剩余价值，从而实现更高的收益