搜索

[13237] 2018-09-28_Linux系统BillGatesbotnetcomponent查杀

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-09-28_Linux系统BillGatesbotnetcomponent查杀 L i n u x 系 统 B i l l G a t e s   b o t n e t   c o m p o n e n t 查 杀 橙 子 x x 0 0 1   F r e e B u f   2 0 1 8 - 0 9 - 2 8 前 言 前 言 B i l l G a t e s 恶 意 软 件 针 对 运 行 中 的 恶 意 软 件 针 对 运 行 中 的 l i n u x 服 务 器 ， 其 主 要 目 的 是 感 染 服 务 器 ， 将 它 们 连 接 在 一 个 通 过 中 央 服 务 器 ， 其 主 要 目 的 是 感 染 服 务 器 ， 将 它 们 连 接 在 一 个 通 过 中 央   C   &   C 服 服 务 器 控 制 的 僵 尸 网 络 中 ， 指 示 机 器 人 在 目 标 上 发 起 务 器 控 制 的 僵 尸 网 络 中 ， 指 示 机 器 人 在 目 标 上 发 起   D D o S   攻 击 。 根 据 攻 击 。 根 据   A k a m a i   的 安 全 情 报 研 究 小 组 的 安 全 情 报 研 究 小 组   ( S I R T ) ， 目 ， 目 前 黑 客 的 装 备 已 从 比 较 旧 的 前 黑 客 的 装 备 已 从 比 较 旧 的 X O R   D D o S   僵 尸 网 络 装 备 已 经 切 换 到 僵 尸 网 络 装 备 已 经 切 换 到   B i l l G a t e s   僵 尸 网 路 。 僵 尸 网 路 。 安 全 事 件 分 析 及 处 置 安 全 事 件 分 析 及 处 置 第 一 次 做 l i n u x 系 统 的 应 急 响 应 事 件 ， 找 到 之 前 收 藏 的 一 篇 黑 客 入 侵 应 急 排 查 文 章 ， 收 益 颇 多 。 此 次 事 件 是 服 务 器 攻 击 外 网 别 的 主 机 ， 很 有 可 能 是 中 病 毒 了 。 （ 参 考 链 接 为 ： h t t p s : / / w w w . l e i p h o n e . c o m / n e w s / 2 0 1 7 0 6 / o C i d Y 2 C 8 I P H t 8 2 m F . h t m l ? v i e w T y p e = w e i x i n 。 ） 1 、 查 看 防 火 墙 、 查 看 防 火 墙 首 先 查 看 了 防 火 墙 上 面 的 日 志 ， 发 现 大 量 的 日 志 报 警 信 息 ， 均 是 C P U 使 用 率 过 高 。 和 已 知 情 况 差 不 多 ， 服 务 器 和 外 地 一 主 机 进 行 大 量 的 会 话 连 接 ， 应 该 是 服 务 器 被 当 作 肉 鸡 对 外 网 别 的 机 器 进 行 攻 击 。 2 、 查 看 服 务 器 、 查 看 服 务 器 登 录 上 服 务 器 ， 查 看 网 络 相 关 情 况 ， 发 现 该 服 务 器 对 外 发 包 6 8 . 4 T B 数 据 ， 流 量 之 大 让 人 有 些 惊 讶 。 查 看 进 程 的 详 细 信 息 ， 发 现 有 一 个 进 程 占 c p u 资 源 非 常 多 ， 如 下 图 所 示 。 初 步 判 断 这 是 病 毒 的 相 关 进 程 ， 对 l i b s t d c 进 程 进 行 处 理 ， 先 强 制 停 止 该 进 程 ， 命 令 为 ， 意 为 关 闭 所 有 名 为 l i b s t d c 的 进 程 ， 也 可 后 面 跟 对 应 的 p i d 号 。 找 到 病 毒 的 所 在 位 置 使 用 f i n d 命 令 ， 在 所 有 目 录 下 查 找 ， 然 后 删 除 相 关 的 程 序 （ 绿 色 代 表 可 执 行 文 件 ） 。 k i l l a l l - 9   l i b s t d c f i n d   /   - n a m e l i b s t d c
使 用 进 行 删 除 操 作 ， 然 而 提 示 没 有 足 够 权 限 。 使 用 命 令 发 现 该 程 序 被 赋 了 i 权 限 （ 文 件 不 可 更 改 ） ， 然 后 用 来 去 除 这 个 属 性 就 可 以 顺 利 删 除 了 。 删 除 后 不 可 掉 以 轻 心 ， 病 毒 很 容 易 再 生 ， 所 以 防 止 它 再 生 应 立 刻 给 该 目 录 赋 予 i 权 限 ， 使 用 命 令 。 3 、 查 看 任 务 计 划 、 查 看 任 务 计 划 查 看 了 任 务 计 划 ， 未 发 现 存 在 l i b s t d c 相 关 计 划 任 务 。 4 、 查 看 、 查 看 s s h 配 置 文 件 配 置 文 件 查 看 了 s s h d _ c o n f i g 文 件 ， 不 存 在 信 任 的 木 马 文 件   。 5 、 查 看 历 史 命 令 、 查 看 历 史 命 令 只 使 用 了 c d 、 l s 、 c a t 等 命 令 ， 未 发 现 异 常 ， 应 该 是 被 黑 客 抹 去 了 。 6 、 检 查 其 他 后 门 及 病 毒 、 检 查 其 他 后 门 及 病 毒 安 装 r k h u n t e r 程 序 ， 扫 描 r o o t k i t 文 件 ， 使 用 w g e t 命 令 ， 不 是 默 认 有 的 ， 需 要 自 己 安 装 。 扫 描 结 果 如 下 图 所 示 ， 发 现 了 B i l l G a t e s   b o t n e t   c o m p o n e n t （ 比 尔 盖 茨 僵 尸 网 络 组 件 ） 。 r m   – r f l i s a t t r c h a t t r   – i c h a t t r   + i
去 扫 描 日 志 / v a r / l o g / r k h u n t e r . l o g 中 查 看 可 疑 文 件 。 找 到 一 些 木 马 后 门 病 毒 等 ， 还 有 木 马 的 启 动 程 序 （ 应 该 是 比 尔 盖 茨 僵 尸 网 络 的 相 关 组 件 ） 。 / t m p / g a t e s . l o d / t m p / m o n i . l o d / u s r / b i n / . s s h d / u s r / b i n / b s d - p o r t / g e t t y / u s r / b i n / b s d - p o r t / g e t t y . l o c k / e t c / i n i t . d / D b S e c u r i t y S p t / e t c / r c . d / i n i t . d / D b S e c u r i t y S p t / e t c / r c 1 . d / s e c l i n u x 将 上 面 的 文 件 一 一 删 除 ， 删 除 完 以 后 一 定 记 得 要 禁 止 系 统 服 务 目 录 的 写 入 权 限 ： 其 中 的 m o n i . l o d 这 个 可 执 行 文 件 怎 么 删 除 都 删 不 掉 ， 后 来 采 取 更 改 权 限 来 解 决 ， 让 它 无 法 执 行 。 使 用 命 令 为 。 删 除 相 关 文 件 后 ， 进 行 复 扫 ， 复 扫 结 果 表 明 ， b i l l g a t e s   b o t n e t   c o m p o n e n t 已 消 失 。 最 后 在 服 务 器 上 ， 安 装 了 杀 毒 软 件 c l m a v a ， 安 装 命 令 为 ， 将 主 要 目 录 都 扫 描 一 遍 如 / b i n 、 / u s r 、 / e t c 、 / d e v 、 / t m p 等 。 （ 参 考 链 接 ： c h m o d   – R   0 0 0   m o n i . l o d y u m   - y   i n s t a l l e p e l - r e l e a s e
h t t p s : / / b l o g . c s d n . n e t / l i u m i a o c n / a r t i c l e / d e t a i l s / 7 6 5 7 7 8 6 7 。 ） 总 结 总 结 刚 开 始 删 除 病 毒 的 时 候 忽 略 了 病 毒 的 再 生 性 ， 当 以 为 删 除 完 了 重 启 机 器 后 发 现 病 毒 又 存 在 了 ， 并 且 又 占 了 c p u 的 使 用 率 使 得 机 器 很 卡 。 后 来 查 看 了 多 篇 文 章 ， 看 到 了 禁 止 系 统 服 务 目 录 的 写 入 权 限 的 办 法 ， 之 后 又 重 新 删 除 一 遍 病 毒 以 及 后 门 文 件 。 再 次 重 启 就 一 一 查 看 相 关 目 录 ， 相 关 病 毒 文 件 就 不 存 在 了 。 删 除 完 病 毒 后 ， 别 忘 记 更 改 系 统 密 码 。 查 看 服 务 器 时 ， 看 到 很 多 登 录 失 败 的 信 息 以 及 有 几 个 成 功 登 录 的 信 息 。 删 除 不 掉 的 文 件 ， 有 个 笨 办 法 就 是 把 文 件 的 权 限 改 为 0 0 0 ， 这 样 就 算 是 病 毒 它 也 无 法 执 行 。 希 望 此 篇 文 章 能 够 帮 助 到 像 我 一 样 的 小 白 们 少 走 些 弯 路 。 * 本 文 作 者 ： 橙 子 本 文 作 者 ： 橙 子 x x 0 0 1 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理