Очистка сервера от майнера XMRig

# Показать все активные соединения
netstat -tunlp

# Показать только ESTABLISHED соединения
netstat -tunlp | grep ESTABLISHED

# Использовать ss (современная альтернатива netstat)
ss -tunlp

# Поиск соединений на типичных портах майнинга
ss -tunlp | grep -E "3333|5555|7777|14444"
netstat -an | grep -E "3333|5555|7777|14444"

# Показать процессы с сетевой активностью
lsof -i -P -n

# Проверить исходящие соединения
iptables -L OUTPUT -v -n

# Мониторинг сетевой активности в реальном времени
iftop
# или
nethogs

# Заблокировать исходящие соединения на типичные порты майнинга
        iptables -A OUTPUT -p tcp --dport 3333 -j DROP
iptables -A OUTPUT -p tcp --dport 5555 -j DROP
iptables -A OUTPUT -p tcp --dport 7777 -j DROP
iptables -A OUTPUT -p tcp --dport 14444 -j DROP

# Сохранить правила
iptables-save > /etc/iptables/rules.v4

# Заблокировать известные майнинг-пулы
iptables -A OUTPUT -d pool.supportxmr.com -j DROP
iptables -A OUTPUT -d xmrpool.eu -j DROP
iptables -A OUTPUT -d monero.crypto-pool.fr -j DROP

# Проверить правила
iptables -L OUTPUT -v -n

#!/bin/bash
# /usr/local/bin/cpu-monitor.sh

# Email для уведомлений
ADMIN_EMAIL="admin@example.com"

# Пороговое значение CPU
CPU_THRESHOLD=80

# Получить текущую загрузку CPU
CPU_USAGE=$(top -bn1 | grep "Cpu(s)" | awk '{print $2}' | cut -d'%' -f1)

# Сравнить с порогом
if (( $(echo "$CPU_USAGE > $CPU_THRESHOLD" | bc -l) )); then
  # Получить топ процессы
  TOP_PROCESSES=$(ps aux --sort=-%cpu | head -n 10)

  # Отправить email
  echo "High CPU usage detected: ${CPU_USAGE}%

Top processes:
$TOP_PROCESSES" | mail -s "🚨 CPU Alert on $(hostname)" $ADMIN_EMAIL

  # Логировать
  echo "[$(date)] High CPU: ${CPU_USAGE}%" >> /var/log/cpu-monitor.log
fi

# Сделать скрипт исполняемым
chmod +x /usr/local/bin/cpu-monitor.sh

# Добавить в crontab (проверка каждые 15 минут)
crontab -e

# Добавить строку:
*/15 * * * * /usr/local/bin/cpu-monitor.sh

#!/bin/bash
# /usr/local/bin/miner-detector.sh

ADMIN_EMAIL="admin@example.com"

# Список известных майнеров
MINERS="xmrig|cpuminer|minerd|ccminer|sgminer|bfgminer|claymore"

# Проверить запущенные процессы
DETECTED=$(ps aux | grep -E "$MINERS" | grep -v grep)

if [ ! -z "$DETECTED" ]; then
  echo "💀 MINER DETECTED!

Processes:
$DETECTED

$(date)" | mail -s "🚨 MINER ALERT on $(hostname)" $ADMIN_EMAIL

  # Логировать
  echo "[$(date)] MINER DETECTED!" >> /var/log/security.log
  echo "$DETECTED" >> /var/log/security.log

  # Опционально: автоматически убить
  # killall -9 xmrig cpuminer minerd
fi

# Проверить сетевые соединения к майнинг-пулам
POOL_CONNECTIONS=$(netstat -an | grep -E "3333|5555|7777|14444" | grep ESTABLISHED)

if [ ! -z "$POOL_CONNECTIONS" ]; then
  echo "🌐 Mining pool connection detected!

$POOL_CONNECTIONS" | mail -s "🚨 Pool Connection Alert" $ADMIN_EMAIL
fi

# Установить inotify-tools
apt install inotify-tools -y

# Мониторинг /tmp на создание файлов
inotifywait -m /tmp -e create -e modify |
  while read path action file; do
    echo "[$(date)] $action $path$file" >> /var/log/file-monitor.log
  done &

# Или использовать AIDE (Advanced Intrusion Detection Environment)
apt install aide -y
aideinit
cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# Ежедневная проверка целостности
echo "0 2 * * * /usr/bin/aide --check | mail -s 'AIDE Report' admin@example.com" | crontab -

# Установить fail2ban
apt install fail2ban -y

# Создать конфигурацию
cat > /etc/fail2ban/jail.local <<'EOF'
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 5

[sshd]
enabled = true
port = ssh
logpath = /var/log/auth.log

[nginx-limit-req]
enabled = true
filter = nginx-limit-req
logpath = /var/log/nginx/error.log

[nginx-botsearch]
enabled = true
filter = nginx-botsearch
logpath = /var/log/nginx/access.log
EOF

# Запустить fail2ban
systemctl enable fail2ban
systemctl start fail2ban

# Проверить статус
fail2ban-client status