|
挖矿病毒清除记录
出现现象
查看定时任务
开始解决
目前还存在三个问题：
出现现象
cpu是4核的但使用htop无法查看到，之前跑的服务进程都被kill掉了，重新启动服务依然被kill掉。
查看定时任务
crontab -l 会出现如下这些curl请求一个域名里面的数据并且下载脚本只需，清除之后还是会存在。
开始解决
于是乎我先把/etc/hosts 加上了一个 127.0.0.1 aliyun.one 这样的记录，并且chattr +i /etc/hosts 防止再被修改。
然后把/var/spool/cron/root 的数据清除，并且快速的 chattr +i /var/spool/cron/root防止定时任务再被修改。
做完这些只会，以为就可以结束了，显然是我想多了（期间我还重启过服务器，当然这一步完全没必要，因为病毒服务还在跑）
重启完全没效果，查看top
找不到pid，于是乎参考了别人的文档，使用了perf top -s comm,pid命令
出现了如下这4个病毒进程，使用ps -ef 无法查看到这几个pid号，所有按照参考那样，查看他运行的服务位置，把那个位置占了就好了，于是乎ls -l /proc/pid号 可以查看到运行的位置
创建文件占用这个位置，在kill -9 之前那几个pid。之后发现这几个挖矿病毒又重启了，而且运行的位置编程/tmp 又或者 /usr/local/bin等路径。
后来找的又另一个文件在这个病毒的/proc/pid文件夹下查找到了7845558393d44b关键字， 后来找到在/usr/local/sbin/下文件名位7845558393d44b有这个文件，这个不知道什么文件，先使用echo > 7845558393d44b 清除这个服务，并且chattr +i 这个文件防止修改，搜索 /etc/目录 grep -r “7845558393d44b” ./* 发现了/etc/init.d/sshservice 这个自启动文件，把这个启动服务也删除。
这个文件是我无意间发现的
这只是个人遇到的问题和如何解决的，肯定有更好的办法。
目前还存在三个问题：
第一个是还没找到快速发现病毒的主启动脚本
第二个还没解决top不显示cpu使用情况
这个问题是因为top加载了一个so库
先运行top
再使用lsof -p pid
参考，查看了一下/etc/ld.so.preload
发现这里面确实是有记载上面那个so的记录，把这条记录删除就显示正常了。
但这个文件很有趣，ls -la 无法查看到这个文件，但用vim能打开，不知道所然。难受！
第三个是还没找到具体入侵点是哪里
参考：https://blog.csdn.net/loveqqcc/article/details/94009415
动态库加载介绍：http://liaoph.com/linux-shared-libary/
|