ddos木马取证

ddos木马分析
在流量监测中，发现一台linux服务器不断向外网发起连接，域名为可疑c2服务器。于是针对此服务器开始排查。
在网络连接中发现恶意外联对应的进程为7856

查看进程发现两个为tflinuxtd的进程

在Linux文件中找到了恶意启动项

查杀方法
kill -9 7854
kill -9 7856
rm /etc/tflinuxtd
删除/etc/rc.local中的 “/etc/tflinuxtd reboot”