本文已在本人博客https://www.nsxsg.com/archives/15首发
Linux 10字符串木马病毒
情况概述(请自动忽略)
今天客户的WAP端注册显示不知名的报错,进入网站查看。可是访问缓慢,于是进入服务器查看情况,结果SSH连接也是十分的卡。等了半天,使用命令查看负载,发现CPU达到了100%,一个10字符串的进程占据了第一的位置。二话不说直接kill掉它,可是立马有生成了另一个10字符串进程。以下是处理步骤。
处理步骤
- 使用top命令查看服务器负载情况
top
- 既然它重新生成了,必定和定时任务脱不了干系,查看crontab
cat /etc/crontab
发现有两个不知名的定时任务
*/3 * * * * root /etc/cron.hourly/cron.sh
*/3 * * * * root /etc/cron.hourly/kill.sh
- 查看病毒程序
cron.sh
和kill.sh
,此处只贴出cron.sh
,可以看到它的本体/lib/udev/udev
cp /lib/udev/udev /lib/udev/debug
- 删除执行的脚本
cron.sh
和kill.sh
,并设定/etc/crontab
不能更改,否则木马又会生成
rm -rf /etc/cron.hourly/cron.sh
rm -rf /etc/cron.hourly/kill.sh
chattr +i /etc/crontab
- 使用
top
查看木马为fcftrfxbuc
,pid为29365,不能直接杀掉程序,否则会重生,所以需要暂停它
kill -STOP 29365
- 删除/etc/init.d目录下所有有关木马的文件
find /etc/init.d -name '*fcftrfxbuc*' | xargs rm -f
- 删除/usr/bin目录下的木马病毒
rm -rf /usr/bin/fcftrfxbuc
- 查看/usr/bin目录下最近有变动的文件,如果是木马和可疑文件一并删除
ls -lt /usr/bin | head
- 杀掉木马程序
pkill fcftrfxbuc
- 删除木马本体
rm -f /lib/udev/udev