挖矿病毒持续活跃，通过 ssh “强行” 登录
内容提要
火绒安全实验室发现挖矿病毒xbash，通过SSH口令爆破获得初始访问权，采用预加载劫持、杀软对抗、流量代理等技术手段运行、隐藏和传播。火绒安全产品已支持拦截和查杀该病毒，用户需及时更新病毒库提高防御能力。
延伸解读
SSH 弱口令是主要入口
文章指出，xbash 病毒主要通过 SSH 口令爆破获得初始访问权。这意味着如果服务器使用简单密码或常见组合，很容易被攻破。攻击者利用爆破得到的凭证登录后，会进一步植入恶意脚本。因此，为 SSH 账户设置高强度密码、禁用密码登录改用密钥认证，能有效降低此类风险。
多重隐藏与对抗手段增加排查难度
xbash 使用了预加载劫持技术，通过修改 /etc/ld.so.preload 来 hook readdir 函数，从而隐藏恶意进程和文件，使常用的 ls、ps、top 等命令无法显示。此外，它还会清除系统日志和历史记录，并尝试卸载安全软件。这些手段使得管理员仅靠常规检查很难发现异常，需要借助专业安全工具进行深入检测。
内网横向移动与持久化机制
病毒会修改 SSH 配置文件和防火墙规则，开放特定端口，实现持久化。同时，它下载开源工具 spirit 和 sshpass，通过计划任务对内网其他主机进行 SSH 爆破，成功后保存密码用于后续攻击。这种横向移动能力可能导致整个内网沦陷。因此，一旦发现一台主机被感染，应尽快检查内网其他主机，并修改所有相关密码。
及时更新安全软件病毒库
火绒安全产品已支持对该类病毒的拦截和查杀。文章提醒用户及时更新病毒库以提高防御能力。对于企业用户，除了更新病毒库，还应加强 SSH 访问控制、定期检查系统日志和异常进程，并考虑部署内网流量监控，以便及时发现横向移动行为。
Q&A
挖矿病毒xbash是如何获得初始访问权的？
挖矿病毒xbash主要通过SSH口令爆破获得初始访问权。
xbash病毒使用了哪些技术手段来隐藏和传播？
xbash病毒使用了预加载劫持、杀软对抗、流量代理等技术手段来运行、隐藏和传播。
火绒安全产品如何应对xbash病毒？
火绒安全产品已支持拦截和查杀xbash病毒，用户需及时更新病毒库以提高防御能力。
cronman脚本的主要功能是什么？
cronman脚本的主要功能包括下载payload、持久化、清除痕迹、清除杀软、内网代理等。
xbash病毒是哪个家族的恶意脚本？
xbash病毒是Coinminer家族的恶意脚本。
xbash病毒如何实现内网横向移动？
xbash病毒通过下载开源网络探测工具并创建周期任务来执行SSH爆破，从而实现内网横向移动。
