Linux 10字符串木马病毒

发表于 | 分类于 | 本文总阅读量 次

今天客户的WAP端注册显示不知名的报错，进入网站查看。可是访问缓慢，于是进入服务器查看情况，结果SSH连接也是十分的卡。等了半天，使用命令查看负载，发现CPU达到了100%，一个10字符串的进程占据了第一的位置。二话不说直接kill掉它，可是立马有生成了另一个10字符串进程。

处理步骤

  1. 使用top命令查看服务器负载情况 
1
top
  1. 既然它重新生成了，必定和定时任务脱不了干系，查看crontab
1
cat /etc/crontab

发现有两个不知名的定时任务

*/3 * * * * root /etc/cron.hourly/cron.sh
*/3 * * * * root /etc/cron.hourly/kill.sh

  1. 查看病毒程序 cron.sh 和 kill.sh ，此处只贴出 cron.sh ，可以看到它的本体 /lib/udev/udev

cp /lib/udev/udev /lib/udev/debug

  1. 删除执行的脚本 cron.sh 和 kill.sh ，并设定 /etc/crontab 不能更改，否则木马又会生成
1
2
3
rm -rf /etc/cron.hourly/cron.sh
rm -rf /etc/cron.hourly/kill.sh
chattr +i /etc/crontab
  1. 使用 top 查看木马为 fcftrfxbuc ，pid为29365，不能直接杀掉程序，否则会重生，所以需要暂停它
1
kill -STOP 29365
  1. 删除/etc/init.d目录下所有有关木马的文件
1
find /etc/init.d -name '*fcftrfxbuc*' | xargs rm -f
  1. 删除/usr/bin目录下的木马病毒
1
rm -rf /usr/bin/fcftrfxbuc
  1. 查看/usr/bin目录下最近有变动的文件，如果是木马和可疑文件一并删除
1
ls -lt /usr/bin | head
  1. 杀掉木马程序
1
pkill fcftrfxbuc
  1. 删除木马本体
1
rm -f /lib/udev/udev
0%