Background

  • 用的华为的弹性云服务器,直到这一次,之前已经出现过三四次,想到这一次也不会是最后一次,记录下,防止因为同样的问题再次中毒。
  • 最终的解决方案是加强服务器的防火墙安全策略。

1、2022-03-23

中毒后部分系统命令不能用。有的能用的也会夹杂一些其他的错误信息。

ERROR: ld.so: object '/usr/local/lib/uncompress.so' from /etc/ld.so.preload cannot be preloaded: ignored.
  • 中毒效果图
    在这里插入图片描述
  • 症状分析

由上图可以看出,加载/etc/ld.so.preload时,指向/usr/local/lib/uncompress.so,而/usr/local/lib/uncompress.so却是一个空文件。所以,我们把这两个文件删除就行了。

  • 然后。。。

md。把这两个文件上锁不说,还把上锁的钥匙也给锁起来。

在这里插入图片描述

  • 正常情况
    在这里插入图片描述

  • 那咱一步一步解锁吧

在这里插入图片描述

  • 其他的,倒也没发现什么,破坏性病毒,不挖矿

2、2022-11-08

这次是发现服务器响应延迟很高,top一看cpu负载异常高,已排查发现rcu_程序引起的,但没查出来的这个程序哪有用到,根据其行为暂定为病毒程序。

  • 中毒效果图
    在这里插入图片描述
  • 症状分析
    根据名字查到四个异常文件
    在这里插入图片描述
    在这里插入图片描述
  • 解决方案
    把异常程序杀掉,然后删除这个四个异常文件
    可以看到文件或目录被加锁了,直接删除是不行的,需要先解锁哈。
    在这里插入图片描述

3、2023-05-26

这次也是发现服务器响应延迟很高,top一看cpu负载异常高,已排查发现sshd程序引起的。

  • 现象
    在这里插入图片描述

  • 根据PID定位该恶意程序的绝对路径

ll /proc/7171

在这里插入图片描述

  • 删除恶意程序相关文件,杀掉恶意程序进程
rm -rf /var/tmp/*
kill -9 7171
  • 检查是否有定时任务自动生成恶意程序相关文件

如果发现有恶意的linux定时任务存在,删除即可!

在这里插入图片描述

Logo

更多推荐