linux服务器Centos7中病毒记录

Background

• 用的华为的弹性云服务器，直到这一次，之前已经出现过三四次，想到这一次也不会是最后一次，记录下，防止因为同样的问题再次中毒。
• 最终的解决方案是加强服务器的防火墙安全策略。

1、2022-03-23

中毒后部分系统命令不能用。有的能用的也会夹杂一些其他的错误信息。

ERROR: ld.so: object '/usr/local/lib/uncompress.so' from /etc/ld.so.preload cannot be preloaded: ignored.

• 中毒效果图
  
• 症状分析

由上图可以看出，加载/etc/ld.so.preload时，指向/usr/local/lib/uncompress.so，而/usr/local/lib/uncompress.so却是一个空文件。所以，我们把这两个文件删除就行了。

• 然后。。。

md。把这两个文件上锁不说，还把上锁的钥匙也给锁起来。

• 正常情况
  

• 那咱一步一步解锁吧

• 其他的，倒也没发现什么，破坏性病毒，不挖矿

2、2022-11-08

这次是发现服务器响应延迟很高，top一看cpu负载异常高，已排查发现rcu_程序引起的，但没查出来的这个程序哪有用到，根据其行为暂定为病毒程序。

• 中毒效果图
  
• 症状分析
  根据名字查到四个异常文件
  
  
• 解决方案
  把异常程序杀掉，然后删除这个四个异常文件
  可以看到文件或目录被加锁了，直接删除是不行的，需要先解锁哈。
  

3、2023-05-26

这次也是发现服务器响应延迟很高，top一看cpu负载异常高，已排查发现sshd程序引起的。

• 现象
  

• 根据PID定位该恶意程序的绝对路径

ll /proc/7171

• 删除恶意程序相关文件，杀掉恶意程序进程

rm -rf /var/tmp/*
kill -9 7171

• 检查是否有定时任务自动生成恶意程序相关文件

如果发现有恶意的linux定时任务存在，删除即可！