最近发现服务器不停的向外发包,且 CPU 持续 100%,远程登录后查看发现有一长度为 10 的随机字符串进程,kill 掉,会重新生成另外长度为 10 的字符串进程。删除文件也会重复生成,查阅 crond 相关日志,发现实际执行的内容为/lib/libudev.so ,以此为关键字进行查询,找到如下内容:
1.网络流量暴增,使用 top 观察至少有一个 10 个随机字符组成的进程执行,占用大量 CPU 使用率。删除这些程序,马上又生成新的进程。
2.检查/etc/crontab 每三分钟执行 gcc.sh
/3 * * * * root /etc/cron.hourly/gcc.sh
3.查看病毒文件 gcc.sh,可以看到病毒本身是 /lib/libudev.so。
欢迎来到这里!
我们正在构建一个小众社区,大家在这里相互信任,以平等 • 自由 • 奔放的价值观进行分享交流。最终,希望大家能够找到与自己志同道合的伙伴,共同成长。
注册 关于