centos dbused挖矿病毒清理

清理bash_profile

1、打开终端，清理到用户下bash_profile文件，默认在/home/${name}/的隐藏文件内容中记录

cp -f -r -- /bin/bprofr /bin/dbused 2>/dev/null && /bin/dbused -c  >/dev/null 2>&1 && rm -rf -- /bin/dbused 2>/dev/null

删除crontab下任务

#查看是否包含cp -f -r -- /bin/bprofr /bin/dbused 2>/dev/null && /bin/dbused -c  >/dev/null 2>&1 && rm -rf -- /bin/dbused 2>/dev/null
crontab -l
#进入目录
cd /var/spool/cron/
#查看该目录下文件中是否存在包含dbuse内容
vim root

查询启动脚本的任务

find /etc/ -name '*' | xargs grep 'dbuse' -n 2>/dev/null |grep cron

执行上述命令会出现类似于如下命令

/etc/cron/weekly/pwnring:2:cp -f -r --/bin/crondr /bin/dbuse 2>/dev/null
/etc/cron/weekly/pwnring:4:./dbused -c >/dev/null 2>&1

删除文件命令

#如果文件删除不掉的话，提示权限问题，则查看文件属性
#lsattr 文件名 显示---i-a -------/etc/cron/weekly/pwnring
#使用命令删除属性 chattr -i -a 文件名 之后就可以删除了
chattr -i -a /etc/cron/weekly/pwnring
#使用rm -rf 文件名即可
rm -rf /etc/cron/weekly/pwnring

依次查看rc.d init.d 系统服务

#查看系统服务   #执行删除文件命令
find /etc/ -name '*' | xargs grep 'dbuse' -n 2>/dev/null | grep rc

find /etc/ -name '*' | xargs grep 'xms' -n 2>/dev/null | grep init.d

find /etc/ -name '*' | xargs grep 'dbuse' -n 2>/dev/null | grep init.d

find /etc/ -name '*' | xargs grep 'dbuse' -n 2>/dev/null | grep systemd

相关文件统统删掉
进入到定时任务的文件夹/var/spool/cron/ 发现有个root的定时任务，删掉！
之后删除以下文件，如果存在的话
删除以下文件

/bin/bprofr

/bin/sysdr

/bin/crondr

/bin/initdr

/usr/bin/bprofr

/usr/bin/sysdr

/usr/bin/crondr

/usr/bin/initdr

/tmp/dbused

/tmp/dbusex

/tmp/xms

/tmp/x86_64

/tmp/i686

/tmp/go

/tmp/x64b

/tmp/x32b