CentOS7清除wnTKYg木馬

轉自：http://blog.csdn.net/zimou5581/article/details/73064878

今天偶然探索服務器cpu佔用率一直是100%，top查看了發現是一個名為wnTKYg的進程。

網上尋找說是一個挖礦木馬，清理之後做個記錄。

木馬如下圖：

嘗試pkill -9 wnTKYg殺死進程，發現沒過多久又出現了

感覺好噁心，中毒原因應該是redis沒有設密碼或者是弱口令，先關了redis防止再次中招

systemctl stop redis

接下來

如果/root/.ssh/下有異常檔案或記錄：rm -rf  /root/.ssh/*

尋找wnTKYg進程目錄：find / -name wnTKYg*

刪除wnTKYg進程檔案：rm -rf  /tmp/wnTKYg

尋找wnTKYg守護進程目錄：ps -aux|grep ddg

刪除wnTKYg守護進程檔案，檔案尾碼可能不同：rm -rf  /tmp/ddg.1009

刪除可疑檔案：

rm -rf /tmp/Aegis-\<Guid5A2C30A2−A87D−490A−9281−6765EDAD7CBA\> 

rm -rf /usr/local/aegis/Aegis-\<Guid5A2C30A2−A87D−490A−9281−6765EDAD7CBA\> 

刪除wnTKYg定時任務：rm -rf /var/spool/cron

檢查是否存在殘留檔案並清理...

殺進程：

pkill -9 wnTKYg

pkill -9 ddg.1009

ps x 或 top 查看是否還有木馬進程

到此應該已經清理完畢