linux服务器随机10字符病毒/libudev4.so病毒清理的过程
故障表现:某天晚上突然收到某项目一台web服务器CPU报警,SSH连接困难卡顿,登陆后发现CPU使用率飙升到700%,第一感觉是被黑了,来事了。
故障处理:
1.登陆上后发现有好多莫名的命令(who/whoami/cat resolv.conf等,可见木马脚本还未被杀禁)kill -9后发现木马进程过段时间还会启动,所以肯定是有计划任务,去查看crontab果然有,删除后,chattr +i /etc/crontab禁止再被修改;
cat /etc/cron.hourly/gcc.sh(也可能是gcc4.sh)
#!/bin/sh PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin for i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done cp /lib/libudev4.so /lib/libudev.so.6 /lib/libudev4.so
可以确定/lib/libudev4.so就是木马本体,可是删除后又会产生,用chmod 000 /lib/libudev4.so && chattr +i /lib/libudev4.so 去除执行权限并且锁住,一会再处理掉;
2.再检查别的启动项,/etc/rc.local文件中也被添加了启动脚本,/etc/init.d/中添加了启动项,删除掉并chattr +i /etc/rc.local && chattr +i /etc/init.d/;
![](https://images2015.cnblogs.com/blog/876483/201704/876483-20170413111957001-235277554.jpg)
![](https://images2015.cnblogs.com/blog/876483/201704/876483-20170413112208111-920217070.jpg)
4.先使用lsof -R | grep "/usr/bin" 查看/usr/bin/下运行的程序,然后使用ls -lt /usr/bin | head 查看/usr/bin下最近修改的文件,pkill掉相关进程,rm -fr /usr/bin/klxgfnwgpc && chattr +i /usr/bin/ 删除并锁定;
/bin下也有,可见这病毒复制之多,同4一样处理掉;
5./etc/rc0.d中也有 删除之 从rc0.d-rc6.d中都有!
posted on 2017-04-11 16:02 cerberus43 阅读(1191) 评论(3) 编辑 收藏 举报