XorDDos木马清除

1、现象

1）cpu使用超高

2）网络流量异常

3）服务器卡顿

2、表现

1）top命令，一个随机文件在运行，且kill后会生成新的随机文件名再次运行。

2）chkconfig --list | grep on

这里还被设置成了开机启动

--------------------------------------------------------------------------------------------------------------

查杀思路：

由于运行进程有多个相互保护（参考一下pstree），而且和病毒文件直接也是相互配合，如果直接删除也会重新生成一个新的病毒文件，所以查杀的基本的思路是：删除定时任务中的病毒启动--->破坏病毒文件使其不可执行（不要删除，否会自动生成）--->停止系统病毒进程--->删除病毒文件--->清理感染文件--->关闭病毒开机启动

以下查杀可以自由组合，按上面查杀思路排列即可！

3、安装clamav扫描并删除感染文件

<1> yum install -y epel-release

<2>  yum install clamav-server clamav-data clamav-update clamav-filesystem clamav clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd -y

freshclam 更新数据库

<3> 扫描根目录：clamscan -r / --max-dir-recursion=5 -l /root/clamav.log

<4> 删除感染的文件：cat clamav.log | grep FOUND（rm删除其文件）

4、重装应用并杀死进程

1）还原文件

yum -y reinstall procps lsof iproute net-tools

2）查看进程树

pstree

systemd─┬─AliYunDun───15*[{AliYunDun}]

├─AliYunDunUpdate───3*[{AliYunDunUpdate}]

├─2*[agetty]

├─aliyun-service───6*[{aliyun-service}]

├─atd

├─auditd───{auditd}

├─consul───6*[{consul}]

├─crond───crond───freshclam-sleep───sleep

├─dbus-daemon

├─dockerd-current─┬─docker-containe───6*[{docker-containe}]

│ └─8*[{dockerd-current}]

├─lvmetad

├─nginx───nginx

├─ntpd

├─polkitd───5*[{polkitd}]

├─rsyslogd───2*[{rsyslogd}]

├─sshd───sshd───bash───pstree

├─systemd-journal

├─systemd-logind

├─systemd-udevd

├─tuned───4*[{tuned}]

├─ ucfzblbtus───3*[{ucfzblbtus}]

└─ 5*[zmsuzppqmm]

3）查看进程位置

ll /proc/23981

dr-xr-xr-x 2 root root 0 May 7 07:57 attr

-rw-r--r-- 1 root root 0 May 7 07:57 autogroup

-r-------- 1 root root 0 May 7 07:57 auxv

-r--r--r-- 1 root root 0 May 7 07:57 cgroup

--w------- 1 root root 0 May 7 07:57 clear_refs

-r--r--r-- 1 root root 0 May 6 22:06 cmdline

-rw-r--r-- 1 root root 0 May 7 07:57 comm

-rw-r--r-- 1 root root 0 May 7 07:57 coredump_filter

-r--r--r-- 1 root root 0 May 7 07:57 cpuset

lrwxrwxrwx 1 root root 0 May 7 07:57 cwd -> /root

-r-------- 1 root root 0 May 7 07:57 environ

lrwxrwxrwx 1 root root 0 May 6 22:06 exe -> /usr/bin/ucfzblbtus

.......

4）关闭进程

pidof /usr/bin/ ucfzblbtus | xargs kill -9

5、清理剩余文件

1）删除异常计划任务

<1> cat /etc/crontab

# Example of job definition:

# .---------------- minute (0 - 59)

# | .------------- hour (0 - 23)

# | | .---------- day of month (1 - 31)

# | | | .------- month (1 - 12) OR jan,feb,mar,apr ...

# | | | | .---- day of week (0 - 6) (Sunday=0 or 7) OR sun,mon,tue,wed,thu,fri,sat

# | | | | |

# * * * * * user-name command to be executed

*/3 * * * * root /etc/cron.hourly/gcc.sh // 异常任务、删除该行

2）破坏病毒文件

<1> cat /etc/cron.hourly.sh

#!/bin/sh

PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin

for i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done

cp /lib/libudev.so /lib/libudev.so.6

/lib/libudev.so.6

<2>破坏并删除

echo etes,tet> /lib/libudev.so

       chmod a-x  /lib/libudev.so

rm -f /lib/libudev.so /lib/libudev.so.6

3）删除/etc/cron.houtly 目录下所有文件

<1> cd /etc/cron.hourly/

<2> rm -fr *

4）关闭开机启动

<1> chkconfig --list | grep on

<2> chkconfig --del jesahrtrma

<3> chkconfig --del nhwtcncubx