小白新手清除billgates（蠕虫病毒） - 〖系统安全〗

z3960

级别: FLY版主

发帖: 801519

飞翔币: 214912

威望: 215767

飞扬币: 2713160

信誉值: 8

只看楼主更多操作 0 发表于: 昨天 15:01

[font=-apple-system, BlinkMacSystemFont, &quot]身为运维小白新手的我在公司深信服防火墙发现[font=-apple-system, BlinkMacSystemFont, &quot]内网的服务器(redhat )中了[font=-apple-system, BlinkMacSystemFont, &quot]billgates病毒疯狂大量发包（平均每[font=-apple-system, BlinkMacSystemFont, &quot]5分钟发包）.

[font=-apple-system, BlinkMacSystemFont, &quot]用[font=-apple-system, BlinkMacSystemFont, &quot]iptables防火墙设置限制外发包量处理。[font=-apple-system, BlinkMacSystemFont, &quot]iptables -A OUTPUT -o eth0 -m limit --limit1024/sec -j ACCEPTiptables -P OUTPUT DROP[font=-apple-system, BlinkMacSystemFont, &quot]察看启动日志发现非[font=-apple-system, BlinkMacSystemFont, &quot]root用户在[font=-apple-system, BlinkMacSystemFont, &quot]etcinit.d自启动目录下创建[font=-apple-system, BlinkMacSystemFont, &quot]2个文件[font=-apple-system, BlinkMacSystemFont, &quot]dbsecurityspt 和[font=-apple-system, BlinkMacSystemFont, &quot] selinux:非正常程序[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot]察看可疑程序批处理的目录及路径：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot]通过[font=-apple-system, BlinkMacSystemFont, &quot]ps -ef 找到进程[font=-apple-system, BlinkMacSystemFont, &quot]pid，然后利用[font=-apple-system, BlinkMacSystemFont, &quot] lsof -p 查看进程打开的所有文件信息，并尝试杀掉进程，并删除这些打开的文件，必须要删除[font=-apple-system, BlinkMacSystemFont, &quot].sshd主程序和[font=-apple-system, BlinkMacSystemFont, &quot]getty克隆副程序文件删除后，否则相关联文件还会重新生成。[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]然后分别清除以下生成的木马病毒文件清除受感染病毒文件：[font=-apple-system, BlinkMacSystemFont, &quot] [font=-apple-system, BlinkMacSystemFont, &quot][font=&amp][size=; font-size: 12pt,12pt]·[font=-apple-system, BlinkMacSystemFont, &quot]rm -rfi/tmp/moni.lod /tmp/gates.lod · rm -rfi /etc/init.d/selinux/etc/init.d/DbSecuritySpt·rm -rfi /etc/rc1.d/S97DbSecuritySpt/etc/rc1.d/S99selinux· rm -rfi /etc/rc2.d/S97DbSecuritySpt/etc/rc2.d/S99selinux· rm -rfi /etc/rc3.d/S97DbSecuritySpt/etc/rc3.d/S99selinux· rm -rfi /etc/rc4.d/S97DbSecuritySpt/etc/rc4.d/S99selinux· rm -rfi /etc/rc5.d/S97DbSecuritySpt/etc/rc5.d/S99selinux· rm -rfi /usr/bin/bsd-port/ /tmp/pythompy重启服务器后，用深信服防火墙及zabbix 察看该服务器流量等状态正常。[size=; font-size: 10.5pt,10.5pt]billgates僵尸网络木马是一个感染性及隐蔽性极强的病毒，它会创建进程来进行[font=-apple-system, BlinkMacSystemFont, &quot][size=; font-size: 10.5pt,10.5pt]C&C[size=; font-size: 10.5pt,10.5pt]通信、病毒监控等操作，、[size=; font-size: 10.5pt,10.5pt]同时还会释放很多病毒克隆文件、替换某些系统文件为病毒克隆文件。和[font=-apple-system, BlinkMacSystemFont, &quot][size=; font-size: 10.5pt,10.5pt]rootkill[size=; font-size: 10.5pt,10.5pt]很相似主要利用服务器某个程序的后门植入服务器然当作肉鸡。[font=-apple-system, BlinkMacSystemFont, &quot]我是运维新手，以上手动清除描述有错漏不当之处，有请各位大佬见谅。

本帖最近评分记录：共 1 条评分飞扬币 +50