1
iT2afL0rd 2015-01-15 18:46:46 +08:00
经验相当丰富啊
|
2
ls25145 2015-01-15 19:16:11 +08:00
我觉得关键在于这些文件怎么进来的?不堵上下次还能再换
|
3
hcymk2 2015-01-15 19:26:12 +08:00
可能是elasticsearch (CVE-2014-3120)
|
4
hcymk2 2015-01-15 19:27:39 +08:00
我以前第一次弄elasticsearch 的时候中过招。
|
5
shakespark 2015-01-15 19:35:48 +08:00 1
要是病毒把find ls都换了会咋样。。。
|
6
choury 2015-01-15 21:05:49 +08:00 via Android
我在想ps都换了,怎么不换呢
|
7
choury 2015-01-15 21:06:30 +08:00 via Android
手抖了,是“怎么不换top呢”
|
8
guairen 2015-01-15 21:39:46 +08:00
你们说的,我怎听不明白。 只知道TOP。
|
9
Draplater 2015-01-15 21:41:20 +08:00
@shakespark 可以传一个 busybox
|
10
mahone3297 2015-01-15 21:50:43 +08:00
find, ls 都替换。。。好思路。。。大家都好邪恶。。。
|
11
zhicheng 2015-01-15 21:53:46 +08:00
这个 Rootkit 明显写得不合格,差评。
|
12
horsley 2015-01-15 22:48:36 +08:00
你是不是用了wdcp
|
13
hiboshi 2015-01-16 00:19:32 +08:00
既然 被替换了系统文件 应该是中了rootkit吧 但是 还能使用top 明显 这个 不合格 同样差评
|
15
Livid MOD 最近好多人都中了这个……
|
16
chigco 2015-01-16 02:09:47 +08:00
没查明是怎么中的吗?
|
17
blijf 2015-01-16 02:49:22 +08:00
我也有遇到过,不管是win还是lin都是这个DbSecuritySpt
|
18
williamx 2015-01-16 08:13:05 +08:00 via iPhone
看了个半懂。最后清理的文件是怎么找出来的?前几天我do上的翻墙机也中了,最后只能重装啊。求指点。
|
19
hushuang 2015-01-16 08:34:59 +08:00
根据描述 应该是这个木马 或者衍生
http://news.drweb.cn/show/?i=230&lng=cn&c=5 "如果在配置文件中设置有标志g_bDoBackdoor,木马同样会试图打开/root/.profile文件,检查其进程是否有root权限。然后后门程序将自己复制到/usr/bin/bsd-port/getty中并启动。在安装的最后阶段,Linux.BackDoor.Gates.5在文件夹/usr/bin/再次创建一个副本,命名为配置文件中设置的相应名称,并取代下列工具: /bin/netstat /bin/lsof /bin/ps /usr/bin/netstat /usr/bin/lsof /usr/bin/ps /usr/sbin/netstat /usr/sbin/lsof /usr/sbin/ps 确实只替换了这些程序 不设计 top find |
20
rangercyh 2015-01-16 09:01:56 +08:00
@shakespark 真是好思路。。。。不得不赞一个。。。
|
22
chinni 2015-01-16 09:36:02 +08:00
我之前也帮别人清理过这个, 样本在这里 http://cl.ly/0Z3b3X1c2Y0Y
|
23
chinni 2015-01-16 09:40:07 +08:00
其实原始文件在 /usr/bin/dpkgd/ 下面......
|
24
crystone 2015-01-16 09:45:26 +08:00
赶紧去过看看
|
25
mcone 2015-01-16 10:06:03 +08:00 3
居然没有替换ls,差评不解释……
我还在学校的时候,一个将unix入门的老师,一个可爱的小老头就给我们演示过一个很简单但是很nb的“病毒”,自动发作,各种方式无法根除…骗了我们好几天,后来发现这个“病毒”方法很简单…… 1. 把.目录加入到PATH的最前面 2. 在大家登录用户~下增加一个被替换过的ls(执行后会替换各种常用命令, ifconfig, ps啥的,最后再执行原始的`ls`,顺便在结果里抹去这个`~/ls`文件存在的痕迹……) 3. 嗯,然后就没有然后了…… |
26
clino 2015-01-16 10:23:06 +08:00
我也好奇这种是怎么中的,不知道是直接运行来源有问题的安装文件还是怎么搞的
|
27
winsyka 2015-01-16 13:49:13 +08:00
elasticsearch 远程代码执行。
|
28
dansong 2015-01-16 15:53:00 +08:00
陈哥QQ多少 :)
|
29
aiwha 2015-01-16 16:38:07 +08:00 via Android
这都太低级了,应该搞个内核模块来隐藏木马文件。。。
|
30
helloworld00 2015-01-17 04:32:00 +08:00
以前弱口令也中过一次招
对方要隐藏到各个文件夹里随意改个名你很难查出来的 我觉得最好的还是重装系统。。。。 |
31
vinian 2016-02-01 14:11:28 +08:00
这个文件也更改了
/usr/bin/chattr |