linux 服务器病毒查杀

Linux服务器病毒特征及常见威胁类型

应急响应全流程操作手册

初步排查阶段

✅ 关键命令组合：

# 实时监控系统调用（抓现行）
sudo ausearch -i -ts recent
# 查看30天内新建文件TOP50
find / -ctime -30 -type f -exec ls -l {} + | sort -nrk9 | head -n50
# 检索进程启动参数
ps auxfww | grep -E 'base64|wget|curl|php'

⚠️ 重点检查区域：

• /dev/shm（共享内存空间,常驻临时后门）
• /tmp/（注意伪装成系统服务的进程）
• /etc/rc.local & /etc/cron.（持久化机制）
• Nginx/Apache的错误日志（查找Web入侵痕迹）

专业工具扫描方案

📌 ClamAV增强用法：

# 更新病毒库并扫描关键目录
sudo freshclam && sudo clamscan -r --infected --remove=no 
    /bin /boot /etc /lib /usr/bin /var/log
# 创建每日定时任务（写入/etc/crontab）
0 3    root clamscan -r / > /var/log/virus_scan.log 2>&1

人工深度取证分析

🔍 二进制逆向技巧：

• 使用file命令识别可疑ELF文件特性：

  file suspicious_file
  # 危险信号示例：'data' section executable、'upx' packed

• 通过strings提取敏感字符串：

  strings suspicious_file | grep -E 'password|token|api'

• 动态调试跟踪（gdb）：

  gdb --args ./suspicious_file
  (gdb) break main
  (gdb) run
  (gdb) backtrace full

🔧 YARA规则编写示例（检测Mimikatz内存取证工具）：

rule Mimikatz_Detection {
    meta:
        description = "Mimikatz Process Injection"
    strings:
        $a = { 8B C7 ???? ???? ???? ???? F3 C3 } // 典型汇编模式
        $b = { 4D 69 6D 69 6B 61 74 7A }      // ASCII "Mimikatz"
    condition:
        any of them
}

系统净化与修复

🛡️ 标准化处理流程：

1. 隔离环境：立即断开网络（iptables -P INPUT DROP），挂载只读文件系统（mount -o remount,ro /）
2. 证据保全：制作磁盘镜像（dd if=/dev/sda of=/backup/disk.img bs=4M）
3. 精准清除：
   • 删除病毒文件前先转存副本供后续分析
   • 重置文件属性：chattr -a /path/to/file
   • 清理历史记录：history -c + 清空~/.bash_history
4. 账户安全：
   • 强制密码重置：passwd [user]
   • 禁用危险SUID程序：find / -perm /4000 -exec ls -l {} ;
5. 系统重建：
   • 最小化安装原则重新部署服务
   • 启用AppArmor/SELinux强制访问控制

长效防御体系建设

核心加固策略

推荐工具链组合

常见问题与解答

Q1: 发现/usr/bin/microcode_ctl正在频繁发起外网请求怎么办？

💡 诊断思路：

1. 验证数字签名：rpm -V microcode_ctl → 若显示”missing digest”则已被篡改
2. 抓取完整数据包：tcpdump -nnX port 443 and host external_ip
3. 比对官方版本哈希值：从intel官网下载对应版本的SHA256SUMS文件校验
4. 应急处理：auditctl -W /usr/bin/microcode_ctl 开启审计追踪后删除文件

Q2: 如何在不影响业务的前提下彻底清除Kernel模块级别的Rootkit？

🔧 专业处置方案：

1. 进入救援模式：cd /run/initramfs/init; ./init
2. 挂载原始分区：mkdir /mnt/sysimg; mount -o ro /dev/mapper/vg0-lv_root /mnt/sysimg
3. 使用未感染系统的chroot环境：chroot /mnt/sysimg
4. 执行以下操作：
   • rmmod malicious_module.ko
   • dracut --force 重建initramfs
   • update-grub 修复引导加载器
5. 重启后立即运行checkmodules验证内核模块完整性

⚠️ 注意：某些高级Rootkit会感染MBR扇区，必要时需使用dd if=/dev/sda of=/backup/mbr.bak bs=512 count=1