中了sfewfesfs，解决过程

ibpoqdi

环境
centos 6.5，开放22端口root权限，密码长度8位字母加数字全小写无规律
-------------------------------------------------------------------------------------
现象
服务器不停往外发包，带宽占满（5分钟能发10G）。能看到名为sfewfesfs的进程还有.sshddXXXXXXXXXXX（一串随机数字）的进程。/etc/下能看到名为sfewfesfs，nhgbhhj等多个奇怪名字的文件。重启后一插网线立即开始执行。
-------------------------------------------------------------------------------------
解决过程

修改外网映射22端口到XXXX

修改root密码
passwd

关闭root的22权限
在/etc/ssh/sshd_config文件中找到PermitRootLogin去掉#改成
PermitRootLogin no

查看占用端口
netstat -atunlp
看到sfewfesfs和.sshdd1401029348进程在发包

查看进程位置
ll /proc/进程PID

参考http://blog.chinaunix.net/uid-1819848-id-4288137.html
删除病毒文件
sudo chattr -i /etc/sfewfesfs*
sudo rm -rf /etc/sfewfesfs*

看到名为nhgbhhj的可疑文件一并删除
sudo rm -rf /etc/nhgbhhj

删除计划任务
sudo rm -rf /var/spool/cron/root
sudo rm -rf /var/spool/cron/root.1

参考http://www.linuxquestions.org/qu ... malware-4175501872/
用ls -al看到.SSH2隐藏文件，删除
sudo rm -rf /etc/.SSH2

用ls -al看到.sshdd1401029348隐藏文件，删除
sudo rm -rf /tmp/.sshdd140*

重启服务器，搞定。

其他，中招后重装过一次系统但立即又中，曾一度怀疑是安装盘的问题-_-!，22端口的root权限还是不要开了，nozuonodie，头一次经历linux中毒曾一度以为是很安全的操作系统-_-!，中过一次才觉得爽，大意了。
病毒具体作用机制本人能力有限没精力仔细研究了，还得大神们来，据说这个是4月份的新病毒，网上可查资料不多，借此复习了一下linux命令。

Shell_HAT

感谢分享

chenyx

总结的不错,赞一个!

Kasiotao

受教了，感谢分享

yestreenstars

学习了！感谢分享~

jiemin3581

谢谢分享，我服务器也中了！由于业务比较着急只好重新做的系统，没有仔细研究这个病毒，我以为是系统安全的问题！谢谢楼主的分享哦

Chinese_Cloud

博主我想请教下你是如何通过netstat -anlult 得知sfewfesfs和.sshdd1401029348进程在发包，还有一个问题sfewfesfs的文件我已经删除了但是grep过滤的时候还出现结束掉进程后过一会又起来了！还请博主指点一二！

little_angel

回复 7# Chinese_Cloud

执行：netstat -atunlp 的结果：注意观察$2 $3 分别代表的意思是反馈队列和发送队列

1. 
   
2. Active Internet connections (servers and established)
   
3. Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name   
   
4. tcp        0      0 127.0.0.1:3310              0.0.0.0:*                   LISTEN      1231/clamd

复制代码

冰封三万里

楼主你好  我前阵子一台nagios服务器也中了这个毒  疯狂的向外发包  导致了内网直接瘫痪  找了半天的问题  才发现是nagios服务器出的问题  这也怪我  当时给这台机器配了个公网IP  在配公网IP之前  没有想到改22端口以及密码。。。刚配上公网IP不到十分钟，内网就瘫了。。。哎   这几天一直在研究这个病毒   请问一下  他向外发包的话  如何查看他发送的IP地址呢？

冰封三万里

我用netstat -tunlap  查看进程  发现了两个奇怪IP   追过去发现是浙江的电信IP   请问这个IP就是发包的接受端么？5分钟10G的流量  这个IP受得了么。。。。