linux DDos病毒查杀过程记录

shell> clamscan -r -i /
查出木马：/bin/pydcddfuia：Unix.Trojan.DDoS_XOR-1

1、查看/etc/cron.hourly  目录下的可疑.sh文件
ljjoamwmrybbx.sh
gcc.sh

2、查看gcc.sh内容，木马源文件
/lib/libudev.so
/lib/libudev.so.6
查看ljjoamwmrybbx.sh内容
cp "/bin/ljjoamwmrybbx" "/bin/ngfljaremb"

3、查看定时任务：/etc/crontab
木马：*/3 * * * * root /etc/cron.hourly/gcc.sh

删除以上木马文件，删除定时任务，杀死对应进程

4、ljjoamwmrybbx.sh删除后发现，会立即生成以随机字符命名的 .sh文件
既然删不掉，那么破坏掉，vim编辑删除文件的内容，再通过以下命令防止重新生成
shell> chattr +i /etc/cron.hourly

5、检查 /bin 目录下的文件，发现木马复制了很多副本，全部删除。删除后重新扫描确认清理干净

相关命令：http://linux.51yip.com/search/clamscan

安装：apt-get install clamav

更新病毒库： /usr/bin/freshclam

 

其他过程记录：

/bin/netstat: Unix.Trojan.Agent-37008 FOUND
/bin/ss: Unix.Trojan.Agent-37008 FOUND
/bin/ps: Unix.Trojan.Agent-37008 FOUND
/bin/flujbtcxqb: Unix.Trojan.DDoS_XOR-1 FOUND

/etc/wxmm: Unix.Trojan.Ddostf-6443160-0 FOUND
/lib/libudev.so: Unix.Trojan.DDoS_XOR-1 FOUND
/usr/bin/pypksflzko: Unix.Trojan.DDoS_XOR-1 FOUND

clamscan -r /usr --remove

删除该/lib/libudev.so会立马重新生成，应该是上述top查到的可疑进程监控的。
既然删不掉，那么破坏掉：
echo slkfhrl,kfhs > /lib/libudev.so
rm /lib/libudev.so
touch /lib/libudev.so
chattr +i /lib/libudev.so
再kill掉上述木马进程，发现进程被杀死没有重新创建。