记一次Linux杀毒过程

不久前发现机器流出流量突然增加，经查看在/tmp目录下存在可疑文件，并且存在.ssh进程，于是安装clamav全盘扫描，最终确定机器中毒。
病毒现象


1、在tmp目录下moni.lod、gates.lod、time、sess、java等可疑文件
2、存在.ssh、getty、zabbix_Agetntd等可疑进程
3、ps、netstart、ss程序执行文件被替换掉了
等等
查杀脚本


仅清除个别文件，病毒还会重新恢复，删除文件后需要立即重启系统。

#!/bin/bash
rm -rf /tmp/moni.lod
rm -rf /tmp/gates.lod
rm -rf /tmp/time
rm -rf /tmp/sess
rm -rf /tmp/java
rm -rf /usr/bin/bsd-port/
rm -rf /etc/init.d/DbSecuritySpt
rm -rf /etc/rc.d/init.d/DbSecuritySpt
rm -rf /etc/rc.d/rc1.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc2.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc3.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc4.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc5.d/S97DbSecuritySpt
rm -rf /etc/rc1.d/S97DbSecuritySpt
rm -rf /etc/rc2.d/S97DbSecuritySpt
rm -rf /etc/rc3.d/S97DbSecuritySpt
rm -rf /etc/rc4.d/S97DbSecuritySpt
rm -rf /etc/rc5.d/S97DbSecuritySpt
rm -rf /usr/bin/.sshd
rm -rf /etc/rc.d/init.d/selinux
rm -rf /etc/rc.d/rc1.d/S99selinux
rm -rf /etc/rc.d/rc2.d/S99selinux
rm -rf /etc/rc.d/rc3.d/S99selinux
rm -rf /etc/rc.d/rc4.d/S99selinux
rm -rf /etc/rc.d/rc5.d/S99selinux
rm -rf /etc/rc1.d/S99selinux
rm -rf /etc/rc2.d/S99selinux
rm -rf /etc/rc3.d/S99selinux
rm -rf /etc/rc4.d/S99selinux
rm -rf /etc/rc5.d/S99selinux
rm -rf /usr/sbin/ss
rm -rf /bin/ps
rm -rf /bin/netstat
rm -rf /tmp/conf.n
rm -rf /tmp/cmd.n
##把正常的执行文件替换中毒的文件
mv ./ss /usr/sbin/
mv ./ps /bin/
mv ./netstat /bin/
reboot

感谢ttBoy的真实分享！