☰

CentOS 7 恶意软件？ - 用户“impress+”执行CPU消耗较高的命令（“cron”）

tag-icon • tag-icon centos security malware chkrootkit
CentOS 7 恶意软件？ - 用户“impress+”执行CPU消耗较高的命令（“cron”）

我的一台“CentOS 7”服务器显示非常奇怪的行为。名为“的用户印象深刻+“执行一个名为”的命令计划任务”。这个“cron”命令是用CPU消耗高。

我担心，因为我怀疑可能是恶意软件...

该服务器没有安装任何东西，只是运行“sshd”。

输出顶级！

问题：我可以做什么来了解有关此“impress+”用户和此“cron”命令的更多信息？

谢谢！ =D

答案1

不幸的是我的服务器是已感染...=\

Chkrootkit 安全实用程序输出的一部分（http://www.chkrootkit.org/)...

注意：信息已通过系统分析确认！

[...]
Searching for Linux.Xor.DDoS ... INFECTED: Possible Malicious Linux.Xor.DDoS installed
/tmp/.X19-unix/.rsync/c/lib/64/libc.so.6
/tmp/.X19-unix/.rsync/c/lib/64/libpthread.so.0
/tmp/.X19-unix/.rsync/c/lib/64/tsm
/tmp/.X19-unix/.rsync/c/lib/32/libc.so.6
/tmp/.X19-unix/.rsync/c/lib/32/libpthread.so.0
/tmp/.X19-unix/.rsync/c/lib/32/tsm
/tmp/.X19-unix/.rsync/c/lib/arm/libc.so.6
/tmp/.X19-unix/.rsync/c/lib/arm/libpthread.so.0
/tmp/.X19-unix/.rsync/c/lib/arm/tsm
/tmp/.X19-unix/.rsync/c/slow
/tmp/.X19-unix/.rsync/c/tsm
/tmp/.X19-unix/.rsync/c/watchdog
/tmp/.X19-unix/.rsync/c/run
/tmp/.X19-unix/.rsync/c/go
/tmp/.X19-unix/.rsync/c/tsm32
/tmp/.X19-unix/.rsync/c/tsmv7
/tmp/.X19-unix/.rsync/c/start
/tmp/.X19-unix/.rsync/c/tsm64
/tmp/.X19-unix/.rsync/c/stop
/tmp/.X19-unix/.rsync/c/v
/tmp/.X19-unix/.rsync/c/golan
/tmp/.X19-unix/.rsync/c/dir.dir
/tmp/.X19-unix/.rsync/c/n
/tmp/.X19-unix/.rsync/c/aptitude
/tmp/.X19-unix/.rsync/init
/tmp/.X19-unix/.rsync/init2
/tmp/.X19-unix/.rsync/initall
/tmp/.X19-unix/.rsync/a/anacron
/tmp/.X19-unix/.rsync/a/run
/tmp/.X19-unix/.rsync/a/stop
/tmp/.X19-unix/.rsync/a/a
/tmp/.X19-unix/.rsync/a/cron
/tmp/.X19-unix/.rsync/a/init0
/tmp/.X19-unix/.rsync/b/run
/tmp/.X19-unix/.rsync/b/stop
/tmp/.X19-unix/.rsync/b/a
/tmp/.X19-unix/.rsync/1
/tmp/.X19-unix/.rsync/dir.dir
[...]

所采取的行动：摧毁受感染的服务器。更改本地基础设施中的“root”密码。更改能够以“root”身份运行的用户的密码。

提示：Chkrootkit 由以下命令安装和配置私人燕尾服工具 （https://github.com/eduardolucioac/private_tux）。它安装和配置安全实用程序并自动执行各种安全诊断。

披露：我是 private_tux 的作者。

相关内容