centos随机名、自我保护的木马病毒 清除小记

这种病毒是进行了自我保护的，直接删除文件或修改文件都会导致其变身重新复制，需逐步清除：

这个木马的主程序是：/lib/libudev.so

1、一般来说，病毒会在cron.hourly里面有sh脚本(gcc.sh)，可以cat查看后找到其宿主程序：
libudev.so libudev.so.6
清除之：
cp /dev/null /lib/libudev.so
cp /dev/null /lib/libudev.so.6

2、对自动启动服务 init 进行清理：
/etc/init.d 下面应该会有运行期的病毒程序，分别处理之
chmod 000 /etc/init.d/ymcxxvpc
chmod 000 /etc/init.d/xhyxxsjdtb
chattr +i /etc/init.d/

3、对计划任务进行清理：
chmod 000 /etc/cron.hourly/*
chmod 000 /etc/cron.hourly/.
chattr +i /etc/cron.hourly/
chattr +i /etc/crontab

4、对病毒的运行目录进行保护：
chattr +i /etc/
chattr +i /usr/bin/ /bin/

5、kill掉运行的病毒 kill -9 … 或者 干脆重启服务器

6、开始清理病毒残余
rm -f /usr/bin/… (或 rm -f /bin/… ) 病毒文件，在ssh的文件管理界面看出，一一干掉
chattr -i /etc/ /etc/crontab
vi /etc/crontab 删除病毒的计划任务
chattr -i /etc/cron.hourly/
rm -f /etc/cron.hourly/. 删除病毒的计划任务程序
rm -f /etc/cron.hourly/*
rm -f /etc/init.d/… 删除病毒及链接文件
rm -f /etc/rc0.d/… rc1 rc2 rc3 rc4 rc5 rc6 …

最后记得把关键的目录 如 /etc /usr/bin 等解开保护，否则搞不好服务器都重启不了

完成后，进行必要的文件保护：
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/inittab
chattr +i /etc/crontab /etc/cron.hourly