字體:  

linux ssh 中毒 gcc.sh 下如何刪除 libudev.so 病毒文件

dyson6 發表於: 2016-11-13 14:08 來源: ADJ網路控股集團


今天發現某台Server不停的向外發包,CPU持續100%,登錄後查看發現有一長度為10的隨機字符串進程,kill掉,會重新生成另外長度為10的字符串進程。刪除文件 也會重複生成,非常痛苦。查閱crond相關日誌,發現實際執行的內容為/lib/libudev.so,以此為關鍵字進行查詢,找到如下內容:

1.網路流量暴增,使用 top 觀察有至少一個 10 個隨機字母組成的程序執行,佔用大量 CPU 使用率。刪除這些程序,馬上又產生新的程序。

2.檢查 /etc/crontab 每三分鐘執行 gcc.sh

*/3 * * * * root /etc/cron.hourly/gcc.sh

3.查看病毒程式 gcc.sh,可以看到病毒本體是 /lib/libudev.so。

[root@adj ~]# cat /etc/cron.hourly/gcc.sh

QUOTE:

   
#!/bin/sh
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin
for i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6
4.刪除上一行例行工作 gcc.sh,並設定 /etc/crontab 無法變動,否則馬上又會產生。

[root@adj ~]# rm -f /etc/cron.hourly/gcc.sh ; chattr +i /etc/crontab

5.使用 top 查看病毒為 nbfoiaayqd,id 為 1621,不要直接殺掉程序,否則會再產生,而是停止其運作。

[root@adj ~]# kill -STOP 1621

6.刪除 /etc/init.d 內的檔案。

[root@adj ~]# find /etc -name '*nbfoiaayqd*' | xargs rm -f

7.刪除 /usr/bin 內的檔案。

[root@adj ~]# rm -f /usr/bin/nbfoiaayqd

8.查看 /usr/bin 最近變動的檔案,如果是病毒也一併刪除,其他可疑的目錄也一樣。

[root@adj ~]# ls -lt /usr/bin | head

9.現在殺掉病毒程序,就不會再產生。

[root@adj ~]# pkill nbfoiaayqd

10.刪除病毒本體。

[root@adj ~]# rm -f /lib/libudev.so

使用此方法 可以完全清除此病毒。
逢甲住宿推薦逢甲住宿台中旅店逢甲日租台中住宿台中逢甲民宿台中民宿台中一中住宿台中便宜住宿台中青年旅館