记一次 黑软件 kthreaddi 攻防战

一般 黑软件kthreaddi 会有本体和守护进程。去年的软件只要杀掉软件本体和守护进程即可。但本次软件比较狡猾，守护进程也是定时更换。

在登入系统的过程中发现了一丝端倪：

You have new mail in /var/spool/mail/root

这个消息经常弹出

直接看 cat /var/spool/mail/root

最后这行俄文看的我闹心。

咨询过业务软件开发者确认不会用到系统的 sendmail 后，直接先把 sendmail 给关了先

关闭 sendmail:
    mv /etc/alternatives/mta  /etc/alternatives/mta_bak
    mv /etc/alternatives/mta-sendmail  /etc/alternatives/mta-sendmail_bak
    mv /usr/sbin/sendmail  /usr/sbin/sendmail_bak
    mv /usr/sbin/sendmail.postfix  /usr/sbin/sendmail.postfix_bak

再把软件生成的定时任务干掉

删除 /var/spool/cron/root

生成一个空文件 /var/spool/cron/root 并设置为只读

把 postfix 关闭，一般服务器不做邮件服务器的情况下可以不开这个。

最后删除 kthreaddi 及 该程序的守护进程

最后，这个世界清净了