linux下如何删除十字元libudev.so病毒檔案

伺服器不停的向外發包，且CPU持續100%，遠端登入後檢視發現有一長度為10的随機字元串程序，kill掉，會重新生成另外長度為10的字元串程序。删除檔案也會重複生成，非常痛苦。查閱crond相關日志，發現實際執行的内容為/lib/libudev.so ，以此為關鍵字進行查詢，找到如下内容：

1.網路流量暴增，使用 top 觀察有至少一個 10 個隨機字母組成的程式執行，佔用大量 CPU 使用率。刪除這些程式，馬上又產生新的程式。

2.檢查 cat /etc/crontab 發現定時任務 每三分鐘執行gcc.sh

1

<code> </code><code>*</code><code>/3</code> <code>* * * * root </code><code>/etc/cron</code><code>.hourly</code><code>/gcc</code><code>.sh</code>

3.檢視病毒程式 gcc.sh，可以看到病毒本體是 /lib/libudev.so。

2

3

4

5

6

<code>[root@deyu ~]</code><code># cat /etc/cron.hourly/gcc.sh</code>

<code>#!/bin/sh</code>

<code>PATH=</code><code>/bin</code><code>:</code><code>/sbin</code><code>:</code><code>/usr/bin</code><code>:</code><code>/usr/sbin</code><code>:</code><code>/usr/local/bin</code><code>:</code><code>/usr/local/sbin</code><code>:</code><code>/usr/X11R6/bin</code>

<code>for</code> <code>i </code><code>in</code> <code>`</code><code>cat</code> <code>/proc/net/dev</code><code>|</code><code>grep</code> <code>:|</code><code>awk</code> <code>-F: {</code><code>'print $1'</code><code>}`; </code><code>do</code> <code>ifconfig</code> <code>$i up&amp; </code><code>done</code>

<code>cp</code> <code>/lib/libudev</code><code>.so </code><code>/lib/libudev</code><code>.so.6</code>

<code>/lib/libudev</code><code>.so.6</code>

4.刪除上一行例行工作 gcc.sh，並設定 /etc/crontab 無法變動，否則馬上又會產生。

<code>[root@deyu ~]</code><code># rm -f /etc/cron.hourly/gcc.sh ; chattr +i /etc/crontab</code>

5.使用 top 檢視病毒為 mtyxkeaofa，id 為 16621，不要直接殺掉程式，否則會再產生，而是停止其運作。

<code>[root@deyu ~]</code><code># kill -STOP 16621</code>

6.刪除 /etc/init.d 內的檔案。

<code>[root@deyu ~]</code><code># find /etc -name '*mtyxkeaofa*' | xargs rm -f</code>

7.刪除 /usr/bin 內的檔案。

<code>[root@deyu ~]</code><code># rm -f /usr/bin/mtyxkeaofa</code>

8.檢視 /usr/bin 最近變動的檔案，如果是病毒也一併刪除，其他可疑的目錄也一樣。

<code>[root@deyu ~]</code><code># ls -lt /usr/bin | head</code>

9.現在殺掉病毒程式，就不會再產生。

<code>[root@deyu ~]</code><code># pkill mtyxkeaofa</code>

10.刪除病毒本體。

<code>[root@deyu ~]</code><code># rm -f /lib/libudev.so</code>

使用此方法 可以完全清除此病毒。

本文轉自 xinsir999 51CTO部落格，原文連結：http://blog.51cto.com/xinsir/1794529，如需轉載請自行聯系原作者