shell> clamscan -r -i /
查出木马:/bin/pydcddfuia:Unix.Trojan.DDoS_XOR-1
1、查看/etc/cron.hourly 目录下的可疑.sh文件
ljjoamwmrybbx.sh
gcc.sh
2、查看gcc.sh内容,木马源文件
/lib/libudev.so
/lib/libudev.so.6
查看ljjoamwmrybbx.sh内容
cp "/bin/ljjoamwmrybbx" "/bin/ngfljaremb"
3、查看定时任务:/etc/crontab
木马:*/3 * * * * root /etc/cron.hourly/gcc.sh
删除以上木马文件,删除定时任务,杀死对应进程
4、ljjoamwmrybbx.sh删除后发现,会立即生成以随机字符命名的 .sh文件
既然删不掉,那么破坏掉,vim编辑删除文件的内容,再通过以下命令防止重新生成
shell> chattr +i /etc/cron.hourly
5、检查 /bin 目录下的文件,发现木马复制了很多副本,全部删除。删除后重新扫描确认清理干净
相关命令:http://linux.51yip.com/search/clamscan
安装:apt-get install clamav
更新病毒库: /usr/bin/freshclam
其他过程记录:
/bin/netstat: Unix.Trojan.Agent-37008 FOUND
/bin/ss: Unix.Trojan.Agent-37008 FOUND
/bin/ps: Unix.Trojan.Agent-37008 FOUND
/bin/flujbtcxqb: Unix.Trojan.DDoS_XOR-1 FOUND/etc/wxmm: Unix.Trojan.Ddostf-6443160-0 FOUND
/lib/libudev.so: Unix.Trojan.DDoS_XOR-1 FOUND
/usr/bin/pypksflzko: Unix.Trojan.DDoS_XOR-1 FOUND
clamscan -r /usr --remove删除该/lib/libudev.so会立马重新生成,应该是上述top查到的可疑进程监控的。
既然删不掉,那么破坏掉:
echo slkfhrl,kfhs > /lib/libudev.so
rm /lib/libudev.so
touch /lib/libudev.so
chattr +i /lib/libudev.so
再kill掉上述木马进程,发现进程被杀死没有重新创建。