记一则Linux病毒的处理
来源:互联网 发布:淘宝科技有限公司 编辑:程序博客网 时间:2024/05/12 12:55
源地址:http://www.kaisir.com/2015/07/ji-yi-ze-linux-bing-du-di-chu-li.html
今天公司新项目在香港的测试服务器感染病毒,一样的情形,特此记录。
今天某项目经理反馈学校的某台服务器不停的向外发包,且CPU持续100%,远程登录后查看发现有一长度为10的随机字符串进程,kill掉,会重新生成另外长度为10的字符串进程。删除文件也会重复生成,非常痛苦。查阅crond相关日志,发现实际执行的内容为/lib/libudev.so ,以此为关键字进行查询,找到如下内容:
- 網路流量暴增,使用 top 觀察有至少一個 10 個隨機字母組成的程序執行,佔用大量 CPU 使用率。刪除這些程序,馬上又產生新的程序。
- 檢查 /etc/crontab 每三分鐘執行 gcc.sh
*/3 * * * * root /etc/cron.hourly/gcc.sh
- 查看病毒程式 gcc.sh,可以看到病毒本體是 /lib/libudev.so。
[root@deyu ~]# cat /etc/cron.hourly/gcc.sh#!/bin/shPATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/binfor i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& donecp /lib/libudev.so /lib/libudev.so.6/lib/libudev.so.6
- 刪除上一行例行工作 gcc.sh,並設定 /etc/crontab 無法變動,否則馬上又會產生。
[root@deyu ~]# rm -f /etc/cron.hourly/gcc.sh ; chattr +i /etc/crontab
- 使用 top 查看病毒為 mtyxkeaofa,id 為 16621,不要直接殺掉程序,否則會再產生,而是停止其運作。
[root@deyu ~]# kill -STOP 16621
- 刪除 /etc/init.d 內的檔案。
[root@deyu ~]# find /etc -name '*mtyxkeaofa*' | xargs rm -f
- 刪除 /usr/bin 內的檔案。
[root@deyu ~]# rm -f /usr/bin/mtyxkeaofa
- 查看 /usr/bin 最近變動的檔案,如果是病毒也一併刪除,其他可疑的目錄也一樣。
[root@deyu ~]# ls -lt /usr/bin | head
- 現在殺掉病毒程序,就不會再產生。
[root@deyu ~]# pkill mtyxkeaofa
- 刪除病毒本體。
[root@deyu ~]# rm -f /lib/libudev.so
使用此方法 可以完全清除此病毒。
0 0
- 记一则Linux病毒的处理
- 369678病毒的处理
- 一则OOM死机故障的处理过程
- 一则对or条件的优化处理
- 一则OOM死机故障的处理过程
- Linux上的病毒
- ARP病毒问题的处理
- CheckSys.exe病毒的处理
- ARP病毒问题的处理
- 电脑故障处理经验一则
- 电脑故障处理经验一则
- 实体类(Entity)中处理DateTime的一则小技巧
- Java操作MySQL的中文处理方法一则
- 处理mysql的查询语句去重案例一则
- Linux操作系统的病毒历史
- 基于Linux系统的病毒
- linux系统下的病毒
- 记一则很bug的小事
- 格灵深瞳赵勇:计算机视觉在安防、交通、机器人、无人车等领域的应用
- java缓存技术memcached实例
- BroadCastReceiver详解
- JavaScript获取浏览器类型与版本
- 维护篇(5.2)-13. 接口故障排查 ❀ 飞塔 (Fortinet) 防火墙
- 记一则Linux病毒的处理
- 自定义UITableViewCell(registerNib: 与 registerClass: 的区别)
- 第七课等于之算式还原——C#计算器编程教学
- 【华为OJ】【010-字符个数统计】
- ORACLE获取数据的物理地址
- JVM(Java虚拟机)优化大全和案例实战
- 端口占用
- .Net C#(类的继承/虚函数/抽象函数/密封类/静态类/抽象类)——学习笔记
- Leangoo大讲堂:免费Scrum敏捷开发实战—武汉站