掃一掃
服務(wù)近2000家企業(yè)，依托一系列實(shí)踐中打磨過(guò)的技術(shù)和產(chǎn)品，根據(jù)企業(yè)的具體業(yè)務(wù)問(wèn)題和需求，針對(duì)性的提供各行業(yè)大數(shù)據(jù)解決方案。
Linux系統(tǒng)下病毒清除方法之隨機(jī)10字符病毒清除
來(lái)源：未知 時(shí)間：2018-11-25 瀏覽次數(shù)：123次
Linux系統(tǒng)下病毒清除方法之隨機(jī)10字符病毒清除，隨機(jī)10字符病毒的特征是在/usr/bin下面自動(dòng)生成多個(gè)進(jìn)程文件，文件名以10個(gè)英文字母隨機(jī)命名，該病毒主要用于服務(wù)器向外發(fā)包
服務(wù)器不停向外發(fā)包，網(wǎng)絡(luò)流量跑高且CPU使用率間斷性達(dá)到2000%。通過(guò)xshell工具遠(yuǎn)程登錄后發(fā)現(xiàn)有隨機(jī)字符串進(jìn)程，kill掉后會(huì)重新生成新的字符串進(jìn)程。刪除源文件也會(huì)重新生成，主進(jìn)程不變，總是產(chǎn)生幾個(gè)輔助進(jìn)程，這說(shuō)明主進(jìn)程會(huì)快速產(chǎn)生幾個(gè)子進(jìn)程，然后這些進(jìn)程之間相互檢測(cè)，一旦檢測(cè)到病毒主體被刪除或更改，就會(huì)再產(chǎn)生一個(gè)新的字符串進(jìn)程。
服務(wù)器不停向外發(fā)包，網(wǎng)絡(luò)流量跑高且CPU使用率間斷性達(dá)到2000%。通過(guò)xshell工具遠(yuǎn)程登錄后發(fā)現(xiàn)有隨機(jī)字符串進(jìn)程，kill掉后會(huì)重新生成新的字符串進(jìn)程。刪除源文件也會(huì)重新生成，主進(jìn)程不變，總是產(chǎn)生幾個(gè)輔助進(jìn)程，這說(shuō)明主進(jìn)程會(huì)快速產(chǎn)生幾個(gè)子進(jìn)程，然后這些進(jìn)程之間相互檢測(cè)，一旦檢測(cè)到病毒主體被刪除或更改，就會(huì)再產(chǎn)生一個(gè)新的字符串進(jìn)程。
一、病毒原理剖析
1、使用ps -ef | grep '字符串'命令是無(wú)法檢測(cè)到，查閱crond相關(guān)日志，發(fā)現(xiàn)實(shí)際執(zhí)行的內(nèi)容為/lib/libudev.so。使用crontab命令檢測(cè)
[root@k8s-node-2 ~]# crontab -l no crontab for root [root@k8s-node-2 ~]# cat /etc/crontab SHELL=/bin/bash PATH=/sbin:/bin:/usr/sbin:/usr/bin MAILTO=root # For details see man 4 crontabs # Example of job definition: # .---------------- minute (0 - 59) # | .------------- hour (0 - 23) # | | .---------- day of month (1 - 31) # | | | .------- month (1 - 12) OR jan,feb,mar,apr ... # | | | | .---- day of week (0 - 6) (Sunday=0 or 7) OR sun,mon,tue,wed,thu,fri,sat # | | | | | # * * * * * user-name command to be executed */3 * * * * root /etc/cron.hourly/gcc.sh
系統(tǒng)級(jí)任務(wù)存放在/etc/crontab下，一般不會(huì)去編輯，用戶(hù)級(jí)任務(wù)crontab -e在/var/spool/cron/username里創(chuàng)建一個(gè)crontab文件
[root@k8s-node-2 ~]# cat /etc/cron.hourly/gcc.sh #!/bin/sh for i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin cp "/lib/libkill.so" "/lib/libkill.so.6" "/lib/libkill.so.6"
分析gcc.sh文件，基本能看出它的原理：
/lib/libkill.so是病原體，通過(guò)cron.sh每隔3min自動(dòng)檢測(cè)一次，如果木馬程序不存在，就從病原體復(fù)制一份兒到/lib/libkill.so.6
副本/lib/libkill.so.6執(zhí)行，生成一個(gè)隨機(jī)命名的程序，丟到/usr/bin/和/boot等目錄
同時(shí)修改了自啟動(dòng)配置chkconfig –add xxx，同時(shí)修改自啟動(dòng)項(xiàng)/etc/rc.local
二、解決辦法
1）使用top命令查看病毒pid為18722，不要直接kill掉程序，否則會(huì)再產(chǎn)生，而是停止其運(yùn)行
kill -stop 18722
2）刪除相關(guān)病毒文件
rm -rf /etc/cron.hourly/gcc.sh find /etc -name '*ronlhpaqim*' | xargs rm -f rm -f /usr/bin/ronlhpaqim
3）查看/usr/bin最近變動(dòng)的記錄，如果是病毒一并刪除，其他可疑的目錄也一樣
ls -lt /usr/bin | head
4）刪除病毒本體
rm -f /lib/libkill.so.6 /lib/libudev.so
三、總結(jié)
1）/proc里面的東西是可以更改的；
2）留意/etc/crontab和/etc/cron.*下的幾個(gè)任務(wù)目錄
3）木馬程序的出現(xiàn)且是root賬號(hào)下，應(yīng)該是redis漏洞或etcd存儲(chǔ)倉(cāng)庫(kù)引起
四、寫(xiě)在最后
隨機(jī)10字符病毒清除不是重點(diǎn)多點(diǎn)是修復(fù)系統(tǒng)漏洞，是腳本木馬不能再被上傳到系統(tǒng)，主要修復(fù)思路如下
1.加強(qiáng)SSH防御，如非必要關(guān)閉SSH端口，非要開(kāi)啟必須修改默認(rèn)22端口，并限制密碼嘗試登陸次數(shù)，詳見(jiàn)centos7優(yōu)化ssh客戶(hù)端登錄安全的配置
2.關(guān)閉不必要的端口，開(kāi)啟修通防火墻，將常用端口80,3306等加入防火墻例外
3.加固linux操作系統(tǒng)，使用linux安全軟件，這里推薦ClamAV，具體安裝詳見(jiàn)linux安全軟件ClamAV編譯安裝和使用
四、寫(xiě)在最后
隨機(jī)10字符病毒清除不是重點(diǎn)多點(diǎn)是修復(fù)系統(tǒng)漏洞，是腳本木馬不能再被上傳到系統(tǒng)，主要修復(fù)思路如下
1.加強(qiáng)SSH防御，如非必要關(guān)閉SSH端口，非要開(kāi)啟必須修改默認(rèn)22端口，并限制密碼嘗試登陸次數(shù)，詳見(jiàn)centos7優(yōu)化ssh客戶(hù)端登錄安全的配置
2.關(guān)閉不必要的端口，開(kāi)啟修通防火墻，將常用端口80,3306等加入防火墻例外
3.加固linux操作系統(tǒng)，使用linux安全軟件，這里推薦ClamAV，具體安裝詳見(jiàn)linux安全軟件ClamAV編譯安裝和使用