记一次仿真挖矿的"彻底"清除

发现

首先find / -mmin 2 查看一下两分钟的运行进程

我们发现back kthreads都有问题

我们依次来看

查看back文件如下 发现循环写入的文件 我们要找维持文件 我们接着找维持文件

查看kthreads文件 成功发现维持文件

打开crontab 发现了计划文件

我们再运行netstat -antp 找一下外连

这里我们成功发现外连ip 和程序

实操

我们先消灭远连程序

远连程序在/tmp/vmware-root_663-402224331x8/

就是bard程序

执行

rm /tmp/vmware-root_663-402224331 x8/*

消灭维持程序

rm /bin/kthreads

消灭计划文件

vim /etc/crontab

删除前

进去删除后两行，删除后

消除病毒文件

这里我们需要先kill掉父进程 6585

如图所以 后面6585变为了 1 说明已经杀掉了 父进程

杀完父进程 我们再kill子进程 12891 和 12938

最后一步

进去/usr/bin删除watchdogdd文件

kill远连程序

结果如下：

删除helloworld

最后 我们删除helloworld即可 所有删除结束