记一次阿里云木马排查过程

问题描述

接到阿里云报警邮件，说是一台ECS有恶意进程。查看阿里云的安全详情，发现有恶意进程(云查杀)-自变异木马：

登录到服务器上检查/bin目录，发现该文件确实不对，大小变成的1.1M，类似的还有netstat。如下图：

正常ubuntu系统下的ps才96K，netstat大小为117K，上述命令文件被恶意窜改了。

检查

根据手动分析的结果发现，有多处系统文件被感染。通过lastlog等命令查看系统登录及操作，并未发现有被入侵的痕迹。
分析启动项，发现多出了如下文件：

/etc/rc1.d/S97VsystemsshMdt
/etc/rc2.d/S97VsystemsshMdt
/etc/rc3.d/S97VsystemsshMdt
/etc/rc4.d/S97VsystemsshMdt
/etc/rc5.d/S97VsystemsshMdt
/etc/rc1.d/S99selinux
/etc/rc2.d/S99selinux
/etc/rc3.d/S99selinux
/etc/rc4.d/S99selinux
/etc/rc5.d/S99selinux
</