Linux下木马病毒清理小记

昨天下午接到朋友的电话，说其一台业务服务器被机房告知因为大量Out Bound流量，被断网要求清查。因为急于恢复业务，因此需要先进行清理保证机器不再出现恶意流量，恢复网络然后再进行进一步处理。估将主要清理情况记录如下：

首先，登录机器后，发现晨间存在异地登录行为：

随后查询历史记录，发现下载并执行了5个恶意的程序，并且添加了启动项

5个恶意程序均为二进制文件，尝试将上述5个文件kill，并且删除，并且清除rc.local启动项，但发现程序依旧会继续创建并运行（要那么容易被干掉也就算不上木马了），因此决定进行全盘排查。

首先根据目录的修改时间（万幸病毒并没有篡改自身创建时间），将问题锁定到了下面几个文件（目录）：

首先/bin 目录，除开下载的三个文件之外，病毒还用自身替换了 ps 文件 与 netstat 文件，同时创建了数个用于计划任务的启动脚本。（可以预见中了病毒，常用的系统命令早已并不可靠，不但无法用于排查问题，反而会重启病毒）

其次是 /usr/sbin 下的 lsof 与 ss 文件也被替换成了病毒本体。

接着是/etc目录的 crontab 增加了一条计划任务 用于定时重启病毒进程（死灰复燃）
同样/etc/rc.d中的 init.d / rc1.d / rc2.d / rc3.d / rc4.d / rc5.d 下也均增加了病毒的执行脚本
并且取了其实挺显眼的名字 DbSecuritySpt 和 selinux 。

最后在 /usr/bin 目录下面存有一个目录保存有病毒的副本（用于计划任务启动）。

通过各个部分环环相扣，保证任何一个部分即使被删除，或者停止，依旧能够死灰复燃。

清理完成，同时恢复被病毒替换掉的系统文件，把SSH的密码登陆干掉，经过网管监控数小时没有出现异常流量之后，算是暂告一段落。当然，接下来恢复还是迁移业务啊，什么的，就让朋友自己折腾了。

当然其实还是那句话，SSH要改端口，不要用密码登陆啊 →_→

对于上述程序有兴趣的欢迎下载：
链接: 度盘 密码: s9pe