不久前发现机器流出流量突然增加，经查看在/tmp目录下存在可疑文件，并且存在.ssh进程，于是安装clamav全盘扫描，最终确定机器中毒。
病毒现象
1、在tmp目录下moni.lod、gates.lod、time、sess、java等可疑文件文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/
2、存在.ssh、getty、zabbix_Agetntd等可疑进程文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/
3、ps、netstart、ss程序执行文件被替换掉了文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/
等等文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/
查杀脚本
仅清除个别文件，病毒还会重新恢复，删除文件后需要立即重启系统。文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/
#!/bin/bash rm -rf /tmp/moni.lod rm -rf /tmp/gates.lod rm -rf /tmp/time rm -rf /tmp/sess rm -rf /tmp/java rm -rf /usr/bin/bsd-port/ rm -rf /etc/init.d/DbSecuritySpt rm -rf /etc/rc.d/init.d/DbSecuritySpt rm -rf /etc/rc.d/rc1.d/S97DbSecuritySpt rm -rf /etc/rc.d/rc2.d/S97DbSecuritySpt rm -rf /etc/rc.d/rc3.d/S97DbSecuritySpt rm -rf /etc/rc.d/rc4.d/S97DbSecuritySpt rm -rf /etc/rc.d/rc5.d/S97DbSecuritySpt rm -rf /etc/rc1.d/S97DbSecuritySpt rm -rf /etc/rc2.d/S97DbSecuritySpt rm -rf /etc/rc3.d/S97DbSecuritySpt rm -rf /etc/rc4.d/S97DbSecuritySpt rm -rf /etc/rc5.d/S97DbSecuritySpt rm -rf /usr/bin/.sshd rm -rf /etc/rc.d/init.d/selinux rm -rf /etc/rc.d/rc1.d/S99selinux rm -rf /etc/rc.d/rc2.d/S99selinux rm -rf /etc/rc.d/rc3.d/S99selinux rm -rf /etc/rc.d/rc4.d/S99selinux rm -rf /etc/rc.d/rc5.d/S99selinux rm -rf /etc/rc1.d/S99selinux rm -rf /etc/rc2.d/S99selinux rm -rf /etc/rc3.d/S99selinux rm -rf /etc/rc4.d/S99selinux rm -rf /etc/rc5.d/S99selinux rm -rf /usr/sbin/ss rm -rf /bin/ps rm -rf /bin/netstat rm -rf /tmp/conf.n rm -rf /tmp/cmd.n ##把正常的执行文件替换中毒的文件 mv ./ss /usr/sbin/ mv ./ps /bin/ mv ./netstat /bin/ reboot
感谢ttBoy的真实分享！文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/ 文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/
我的微信
微信公众号
扫一扫关注运维生存时间公众号，获取最新技术文章~
评论