记一次阿里云木马排查过程

最新推荐文章于 2025-05-06 16:18:44 发布

无名大盗

最新推荐文章于 2025-05-06 16:18:44 发布

阅读量4.6k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：安全文章标签：木马阿里云 clamav 安全扫描

本文链接：https://blog.youkuaiyun.com/dreamer2020/article/details/98652888

问题描述

接到阿里云报警邮件，说是一台ECS有恶意进程。查看阿里云的安全详情，发现有恶意进程(云查杀)-自变异木马：
在这里插入图片描述
登录到服务器上检查/bin目录，发现该文件确实不对，大小变成的1.1M，类似的还有netstat。如下图：

正常ubuntu系统下的ps才96K，netstat大小为117K，上述命令文件被恶意窜改了。

检查

根据手动分析的结果发现，有多处系统文件被感染。通过lastlog等命令查看系统登录及操作，并未发现有被入侵的痕迹。
分析启动项，发现多出了如下文件：

/etc/rc1.d/S97VsystemsshMdt
/etc/rc2.d/S97VsystemsshMdt
/etc/rc3.d/S97VsystemsshMdt
/etc/rc4.d/S97VsystemsshMdt
/etc/rc5.d/S97VsystemsshMdt
/etc/rc1.d/S99selinux
/etc/rc2.d/S99selinux
/etc/rc3.d/S99selinux
/etc/rc4.d/S99selinux
/etc/rc5.d/S99selinux

两个文件都是软链接：
在这里插入图片描述
可以明确感染文件不止一处，所以需要通过软件进行全盘扫描。linux下比较常见的杀毒工具是clamav，于是决定安装扫描全盘。