记一次Linux杀毒过程

不久前发现机器流出流量突然增加，经查看在/tmp目录下存在可疑文件，并且存在.ssh进程，于是安装clamav全盘扫描，最终确定机器中毒。

病毒现象

1、在tmp目录下moni.lod、gates.lod、time、sess、java等可疑文件文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/

2、存在.ssh、getty、zabbix_Agetntd等可疑进程文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/

3、ps、netstart、ss程序执行文件被替换掉了文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/

等等文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/

查杀脚本

仅清除个别文件，病毒还会重新恢复，删除文件后需要立即重启系统。文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/

#!/bin/bash
rm -rf /tmp/moni.lod
rm -rf /tmp/gates.lod
rm -rf /tmp/time
rm -rf /tmp/sess
rm -rf /tmp/java
rm -rf /usr/bin/bsd-port/
rm -rf /etc/init.d/DbSecuritySpt
rm -rf /etc/rc.d/init.d/DbSecuritySpt
rm -rf /etc/rc.d/rc1.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc2.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc3.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc4.d/S97DbSecuritySpt
rm -rf /etc/rc.d/rc5.d/S97DbSecuritySpt
rm -rf /etc/rc1.d/S97DbSecuritySpt
rm -rf /etc/rc2.d/S97DbSecuritySpt
rm -rf /etc/rc3.d/S97DbSecuritySpt
rm -rf /etc/rc4.d/S97DbSecuritySpt
rm -rf /etc/rc5.d/S97DbSecuritySpt
rm -rf /usr/bin/.sshd
rm -rf /etc/rc.d/init.d/selinux
rm -rf /etc/rc.d/rc1.d/S99selinux
rm -rf /etc/rc.d/rc2.d/S99selinux
rm -rf /etc/rc.d/rc3.d/S99selinux
rm -rf /etc/rc.d/rc4.d/S99selinux
rm -rf /etc/rc.d/rc5.d/S99selinux
rm -rf /etc/rc1.d/S99selinux
rm -rf /etc/rc2.d/S99selinux
rm -rf /etc/rc3.d/S99selinux
rm -rf /etc/rc4.d/S99selinux
rm -rf /etc/rc5.d/S99selinux
rm -rf /usr/sbin/ss
rm -rf /bin/ps
rm -rf /bin/netstat
rm -rf /tmp/conf.n
rm -rf /tmp/cmd.n
##把正常的执行文件替换中毒的文件
mv ./ss /usr/sbin/
mv ./ps /bin/
mv ./netstat /bin/
reboot

感谢ttBoy的真实分享！文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/ 文章源自运维生存时间-https://www.ttlsa.com/safe/linux-antivirus-action/