Debian 8 VM Web 服务器上的 DDoS 病毒感染（作为 unix 服务）

Question 1

我们在 Suse 上也遭遇了类似的感染，可能是通过ssh 暴力登录。

清洁步骤如下：

检查文件/etc/crontab。你可能有一个条目每 3 分钟调用一次病毒
```
*/3 * * * * root /etc/cron.hourly/cron.sh
```
删除此行。
确定病毒的父进程。rguoywvrf在您的中ps -ej。其他进程被连续创建和终止。
阻止它，不要杀死它，kill -STOP 1632
与其他人确认ps -ej只有父母活着，孩子应该很快就会死
/usr/bin现在您可以删除和中的文件/etc/init.d。该病毒的一些变种也使用/boot或/bin。用于ls -lt | head查找最近修改过的文件。
检查中的脚本/etc/cron.hourly/cron.sh。在我们的服务器中，它正在上调用病毒的另一个副本/lib/libgcc.so。删除这两个文件。
现在您可以确定地终止该rguoywvrf进程。

Answer

我们在 Suse 上也遭遇了类似的感染，可能是通过ssh 暴力登录。

清洁步骤如下：

检查文件/etc/crontab。你可能有一个条目每 3 分钟调用一次病毒
```
*/3 * * * * root /etc/cron.hourly/cron.sh
```
删除此行。
确定病毒的父进程。rguoywvrf在您的中ps -ej。其他进程被连续创建和终止。
阻止它，不要杀死它，kill -STOP 1632
与其他人确认ps -ej只有父母活着，孩子应该很快就会死
/usr/bin现在您可以删除和中的文件/etc/init.d。该病毒的一些变种也使用/boot或/bin。用于ls -lt | head查找最近修改过的文件。
检查中的脚本/etc/cron.hourly/cron.sh。在我们的服务器中，它正在上调用病毒的另一个副本/lib/libgcc.so。删除这两个文件。
现在您可以确定地终止该rguoywvrf进程。

Question 2

回答您的问题：

如果没有采取必要的预防措施（异地系统日志、IDS、日志监控等），您可能永远都无法知道发生了什么。
我不得不同意 Matt 的观点。你会花时间让一台你永远不会真正信任的机器运行起来。在我看来，最好的解决方案是将数据移出现场并重新设置机器。

当然，这只是我的意见。不过，在重做机器时，你当然可以采取必要的预防措施，并在将来更好地保护自己。

Answer

回答您的问题：

如果没有采取必要的预防措施（异地系统日志、IDS、日志监控等），您可能永远都无法知道发生了什么。
我不得不同意 Matt 的观点。你会花时间让一台你永远不会真正信任的机器运行起来。在我看来，最好的解决方案是将数据移出现场并重新设置机器。

当然，这只是我的意见。不过，在重做机器时，你当然可以采取必要的预防措施，并在将来更好地保护自己。

Question 3

这是一个会产生很多问题的威胁，因为它会发起 DDOS 攻击并在端口 80 上生成数千个到外部服务器的连接，但我不知道是否有意为之，如果没有 DDOS 攻击规则，它往往会使您的连接超载，直到路由器/防火墙冻结。

现在，你怎样才能消除这种威胁？

找到你的威胁，使用

Centos/红帽

ps -ely

Debian

ps -ej

你会看见：

3158 3158 3158 ? 00:00:00 bvxktwwnsb
3162 3162 3162 ? 00:00:00 bvxktwwnsb
3163 3163 3163 ? 00:00:00 bvxktwwnsb
3164 3164 3164 ? 00:00:00 bvxktwwnsb

“ bvxktwwnsb“是你的目标

然后您需要在单用户模式下启动您的Linux服务器，在多用户模式下进行任何更改都是没有意义的，通常您可以使用以下命令切换：

特利尼特
之后你需要删除启动时运行的文件

在 Centos/Redhat 中，流程是

步骤a)

cd /etc/init.d          
ll -tr

最后一个命令按日期倒序排列文件，你将在末尾看到最后 1 或 2 个文件，名称如下

acdnfhruvx
kmrkuwbrng
gqpjiestmf
bvxktwwnsb

你需要查看内容

cat /etc/init.d/gqpjiestmf

通常你会看到位于 /bin 或 /usr/sbin 中同名文件的执行

您需要删除这两个文件。

步骤b)

cd /etc/
ll -tr

检查你的 crontab 文件是否最近被更改，查看其内容，搜索一行

*/3 * * * * root /etc/cron.hourly/udev.sh

或者

*/3 * * * * root /etc/cron.hourly/crontab.sh

您需要编辑该文件并删除该行。

udev.sh检查或的内容crontab.sh，你会看到类似这样的内容

#!/bin/sh
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin
cp /lib/libgcc4.so /lib/libgcc4.4.so
/lib/libgcc4.4.so

您需要删除“libgcc4.4.so”文件或其中提到的任何其他文件（例如，更改权限也可以chmod a-x libgcc.so）

重新启动服务器，一切就都好了。

对于 debian/ubuntu 和相关版本使用：

locate bvxktwwnsb

并删除 /etc 和 /bin 中的文件

希望这对很多人有帮助。

Answer