记一次Linux病毒处理
0 1 PART 病毒介绍 XXX单位现场文员发现网络异常卡顿,经过查看数据包确定为XXXOA系统服务器大量上传数据从而占用网络。 初步分析为服务器被感染挖矿病毒,被感染主机出现一个或多个十位随机字母病毒进程,主要目的消耗服务各项资源。 此病毒会自我保护和自我恢复。 此病毒会往外发送大量SYN数据包,造成网络堵塞。 03 PART 病毒分析 病毒特征比较明显,进程列表中会出现十位随机字母病毒进程,并占用大量CPU。 除此之外还会在修改 /etc/crontab 和新增文件/etc/cron.hourly/gcc.sh 来启动定时任务。 /etc/cron.hourly/gcc.sh 内容如下 脚本内容如下: 打开网卡,然后启动 libudev.so。 该程序还会同时启动多个进程来监控 libudev.so 进程是否被杀掉,如果被关掉了,会再把 libudev.so 拉起来,而且这个监控进程为了防止备关掉,还会不停的变换自己的进程名和进程号。 可以知道/lib/libkill.so是病原体,通过gcc.sh每隔3min自动检测一次,如果木马程序不存在,就从病原体复制一份儿到/lib/libkill.so.6 。 副本/lib/libkill. so.6执行,生成一个随机命名的程序,丢到/usr/bin/和/boot等目录 同时修改了自启动配置chkc onfig –add xxx