最近发现服务器不停的向外发包,且 CPU 持续 100%,远程登录后查看发现有一长度为 10 的随机字符串进程,kill 掉,会重新生成另外长度为 10 的字符串进程。删除文件也会重复生成,查阅 crond 相关日志,发现实际执行的内容为/lib/libudev.so ,以此为关键字进行查询,找到如下内容:
1.网络流量暴增,使用 top 观察至少有一个 10 个随机字符组成的进程执行,占用大量 CPU 使用率。删除这些程序,马上又生成新的进程。
2.检查/etc/crontab 每三分钟执行 gcc.sh
/3 * * * * root /etc/cron.hourly/gcc.sh
3.查看病毒文件 gcc.sh,可以看到病毒本身是 /lib/libudev.so。
cat /etc/cron.hourly/gcc.sh
#!/bin/sh
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin
for i in cat `/proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6
4.删除上一行定时任务,并且删除 gcc.sh 文件,并设置 /etc/crontab 无法变更,否则又会马上生成新的文件。
# rm -f /etc/cron.hourly/gcc.sh ; chattr +i /etc/crontab
5.使用 top 查看病毒为 vmsykoezbr,id 为 825,不要直接杀掉进程,否则会重新生成新的进程,而是将他停止。
# kill -STOP 825
6.删除 /etc/init.d 内的文件。
# find /etc -name '*vmsykoezbr*' | xargs rm -f
7.删除 /usr/bin 下的文件。
# rm -f /usr/bin/vmsykoezbr
8.查看 /usr/bin 最近变动的文件,如果是病毒也一起删除,其他可疑的其他可疑目录也一样。
# ls -lt /usr/bin | head
9.现在杀掉病毒进程,就不会重新生成了。
# pkill vmsykoezbr
10.删除病毒
# rm -f /lib/libudev.so
欢迎来到这里!
我们正在构建一个小众社区,大家在这里相互信任,以平等 • 自由 • 奔放的价值观进行分享交流。最终,希望大家能够找到与自己志同道合的伙伴,共同成长。
注册 关于