Linux 10字符串木马病毒

本文已在本人博客https://www.nsxsg.com/archives/15首发

Linux 10字符串木马病毒

情况概述（请自动忽略）

今天客户的WAP端注册显示不知名的报错，进入网站查看。可是访问缓慢，于是进入服务器查看情况，结果SSH连接也是十分的卡。等了半天，使用命令查看负载，发现CPU达到了100%，一个10字符串的进程占据了第一的位置。二话不说直接kill掉它，可是立马有生成了另一个10字符串进程。以下是处理步骤。

处理步骤

1. 使用top命令查看服务器负载情况

top

2. 既然它重新生成了，必定和定时任务脱不了干系，查看crontab

cat /etc/crontab

发现有两个不知名的定时任务

*/3 * * * * root /etc/cron.hourly/cron.sh
*/3 * * * * root /etc/cron.hourly/kill.sh

3. 查看病毒程序 cron.sh 和 kill.sh ，此处只贴出 cron.sh ，可以看到它的本体 /lib/udev/udev

cp /lib/udev/udev /lib/udev/debug

4. 删除执行的脚本 cron.sh 和 kill.sh ，并设定 /etc/crontab 不能更改，否则木马又会生成

rm -rf /etc/cron.hourly/cron.sh
rm -rf /etc/cron.hourly/kill.sh
chattr +i /etc/crontab

5. 使用 top 查看木马为 fcftrfxbuc ，pid为29365，不能直接杀掉程序，否则会重生，所以需要暂停它

kill -STOP 29365

6. 删除/etc/init.d目录下所有有关木马的文件

find /etc/init.d -name '*fcftrfxbuc*' | xargs rm -f

7. 删除/usr/bin目录下的木马病毒

rm -rf /usr/bin/fcftrfxbuc

8. 查看/usr/bin目录下最近有变动的文件，如果是木马和可疑文件一并删除

ls -lt /usr/bin | head

9. 杀掉木马程序

pkill fcftrfxbuc

10. 删除木马本体

rm -f /lib/udev/udev