TeamTNT变种清除步骤

前几天由于测试环境暂时需要一个redis服务用来测试，某同事在一台空闲阿里的ECS上手动部署了一个，没有设置密码，使用默认端口，对外开放…
今天就收到了来自阿里云以及钉钉群的报警通知，时间是凌晨5点多，由于服务器加入了阿里的云安全旗舰版，所以第一时间就被阿里安全中心给检测到进行了查杀，为了安全起见，还是决定手动看看有没有遗漏的地方。

看详情应该是下载有害脚本到服务器进行挖矿以及横向感染等操作，

看系统可疑进程

由于阿里安全中心这里已经处理过，所以并没有找到可疑进程
如果是自己的虚拟机，可能一些系统命令比如top会被污染，那么可以手动上传安装busybox来查看

看redis日志

由于同事粗心，并没有配置日志文件，redis日志默认在启动界面，所以没法查看

查看/etc/passwd/

用户正常

查看免密登录

也是正常

查看定时任务cron

cront -l

发现存在下载脚本的计划，
直接 crontab -e 进去后DD 删除内容并保存推出。

查找报警时间段修改过的文件

[root@test-code ~]# find / -type f -newermt "2021-12-31 05:00" ! -newermt "2021-12-31 09:30"
/etc/crontab
/etc/cron.d/zzh
/opt/redis/data/backup.db
/usr/local/aegis/aegis_client/aegis_11_17/rule/vuldata.dat
/usr/local/aegis/PythonLoader/data/data.25482.5
/usr/local/aegis/PythonLoader/data/data.25621.5
/usr/local/aegis/PythonLoader/data/debug_secguard.log
/usr/local/aegis/globalcfg/aegisdb/dircache.db
/var/log/lastlog
/var/log/mysqld.log
/var/log/wtmp
/var/spool/cron/root
/var/spool/postfix/pid/unix.local
/var/spool/postfix/pid/unix.cleanup

cat /etc/cron.d/zzh

检查利用chattr 添加ia权限的文件

find /etc/ /home/ /root/ -newermt “10:00” ! -newermt “12:30” -type f -exec lsattr {} ;
如果有
find /etc/ /home/ /root/ -newermt “10:00” ! -newermt “12:30” -type f -exec chattr -ai {} ;
然后看哪些是可疑文件进行清楚

netstat 查看可以请求

查找缺失或被替换的命令：使用rpm -Va

用rpm比对被修改过的命令。missing表示命令找不到了，5代表MD5发生了改变，有可能对应的命令文件被替换或有修改。M则表示命令的权限发生了修改。
具体每个值的含义如下：
S 文件大小是否改变
M 文件的类型或文件的权限（rwx）是否被改变
5 文件MD5校验是否改变（可以看成文件内容是否改变）
D 设备中，从代码是否改变
L 文件路径是否改变
U 文件的属主（所有者）是否改变
G 文件的属组是否改变
T 文件的修改时间是否改变

rpm -Va |grep bin/

如果有，直接使用yum reinstall重新安装
查找命令对应的安装包可以使用
yum whatprovides command
如 yum whatprovides cat
一切检查完，重新修改redis配置文件，修改端口以及配置密码
重启服务，阿里云安全组配置对应端口白名单，防止再次被污染。

检查完这些，基本就差不多了，如果实在不方便可以回滚快照或者重装系统。