思路:本身前面把这个蠕虫样本先运行了一下,但是后来没异常,于是就把挖矿样本也整进去,运行之后我以为是挖矿样本导致的CPU飙升,于是排查了启动项,计划任务,服务项但是都和挖矿脚本无关,排查了一个多小时把里面所有挖矿样本删除后,才进行了排查蠕虫这个东西,总之闲下来就多去复现样本,提升实践能力,以防到客户现场发现不会搞!各位一起加油!
测试机:kali、centos7
样本MD5值:4ea1def4e8cdaf1d8fdb5430cc03f1a9
测试步骤:
1、下载样本 并给样本加一个执行权限 ,运行即可。
2、运行成功之后会发现CPU使用率飙升,但没有进程名。
3、于是就去排查网络连接情况 发现存在一条异常连接,异常IP归属地为美国
4、用lsof -p +pid进程号 查询调用的文件 如图
5、于是乎 进入到这个目录下 删除文件,但是并无作用
6、那只能找服务项,启动项,计划任务项,经排查服务项存在异常,根据时间戳发现该服务异常
7、这东西不就找着了吗,这些路径目录下的文件直接删除 删除之后把进程结束掉
8、计划任务crontab -l 发现有定时任务,删除。
9、发现进程已经没了, cpu也恢复正常。
10、find / -name *ddns* 去查找所有相关文件,并删除。然后重启就可以了
各位大佬轻点喷,如有问题请指出,谢谢大家! 志同道合兄弟可以一起分享关于应急处置的思路