记录一次在Linux解决sysupdata挖矿病毒过程

记录一次在Linux解决sysupdata挖矿病毒过程

公司项目上线测试时发现有进程后台cpu占用过高,根据进程名称及端口号找到文件所在位置为/etc/sysupdata该文件,网上一查发现是病毒文件对应的还有其他四个文件:
updata.sh config.json networkservics sysguerd(该文件未添加i权限可以直接rm -rf 文件名 直接删除)

解决办法

1.先尝试解决
找到病毒文件了现在就是直接删除看看:

很明显这个文件不能删除有权限
网上的方法是使用chattr -i sysupdata 先解除权限再使用rm -f sysupdata 删除文件

然而却没用
使用lsattr命令查询文件权限看看

这个文件有i说明之前的解除命令没有生效所以根本删不掉
网上很多都是用上面的方法就能删除sysupdata文件现在删不掉就说明这个病毒可能是被优化过了
这个新版本病毒会把你/usr/bin/chattr文件修改导致你使用的chattr -i 文件名 这个命令失效了
现在在/usr/bin/使用lsattr命令查看chattr文件权限: