无法通过恶意命令复制原始 top 命令可执行文件

Question

有人入侵了我的系统，并用恶意命令替换了一些系统命令，如 top、ps、find 等。

现在，我尝试复制原始文件，但复制或移动命令失败，即使我以 root 用户身份登录也是如此。

我收到以下错误：

cp /root/top /usr/bin/
cp: overwrite `/usr/bin/top', overriding mode 0755? y
cp: cannot create regular file `/usr/bin/top': Permission denied

有人可以告诉我一种复制原始文件的方法吗？

Answer 1

该目录可能已设为只读，或者文件可能已通过扩展属性设为不可变。但我故意不告诉你如何解决这个问题，因为这不是正确的方法。当一台机器被恶意软件感染时，您无法知道出了什么问题。内核很可能也被感染，并且您尝试的任何修复都只会看起来成功。

从轨道上用核武器攻击它。换句话说，扔掉现有的安装并从头开始重新安装系统。你会想要复制数据。理想情况下，从已知良好的备份中恢复它。如果您没有完整的良好备份，请从最新的良好备份中恢复并小心复制更新的文件。但您必须重新安装操作系统。请务必擦除现有的内核和系统安装，以避免意外保留受感染的文件。更好的是，安装到新磁盘，保留旧磁盘（无需跑步任何事情）找出发生了什么，这样就不会再发生了。