# 美国Linux服务器系统常见病毒的解决方案 > 来源：梦飞idc云平台 | 原文：https://www.mfisp.com/16498.html | 发布：2023-02-13 | 更新：2023-02-13 | 分类：服务器vps推荐 [美国Linux服务器](https://www.mfisp.com/shop/usidc)系统会被一些常见的病毒所影响，不过不同的病毒类型，其在[美国Linux服务器](https://www.mfisp.com/shop/usidc)中的传播以及攻击入侵的方式各不相同，本文小编就来介绍[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统常见病毒的解决方案。 一、Systemd Miner病毒 Systemd Miner会使用3种方式进行在[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统里传播：YARN漏洞、Linux自动化运维工具以及ssh缓存密钥，该病毒早期版本的文件命名是带有Systemd字符串，而后期版本更换为随机名。 特点： 1、善用暗网代理来进行[美国Linux服务器](https://www.mfisp.com/shop/usidc)C&C通信。 2、通过bash命令下载执行多个功能模块。 3、通过SSH暴力破解、SSH免密登录利用、Hadoop Yarn未授权访问漏洞和自动化运维工具内网扩散 4、文件下载均利用暗网代理，感染后会清除[美国Linux服务器](https://www.mfisp.com/shop/usidc)上其他挖矿木马，以达到资源独占的目的。 系统中毒现象： ``` 定时访问带有tor2web、onion字符串的域名。 在/tmp目录下出现systemd的文件，后期版本为随机名。 存在运行systemd-login的定时任务，后期版本为随机名。 ``` 解决方案： 1、清除[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统里/var/spool/cron和/etc/cron.d目录下的可疑定时任务。 2、清除系统随机名的挖矿进程。 3、清除[美国Linux服务器](https://www.mfisp.com/shop/usidc)上残留的systemd-login和病毒脚本。 二、Xor DDoS病毒 Xor DDoS样本运用多态及自删除的方式，主要用途是攻击公网[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统，导致美国Linux服务器不断出现随机名进程，并采用Rootkit技术隐藏通信IP及端口。 系统中毒现象： ``` 存在/lib/libudev.so病毒文件。 在/usr/bin，/bin，/lib，/tmp目录下随机名的病毒文件。 存在执行gcc.sh的定时任务。 ``` 解决方案： 1、清除/lib/udev/目录下的udev程序。 2、清除[美国Linux服务器](https://www.mfisp.com/shop/usidc)/boot目录下的随机恶意文件，为10个随机字符串数字。 3、清除/etc/cron.hourly/cron.sh和/etc/crontab定时器文件相关内容。 4、如果有RootKit驱动模块，需要卸载[美国Linux服务器](https://www.mfisp.com/shop/usidc)相应的驱动模块，此次恶意程序主要使用它来隐藏相关的网络IP端口。 5、清除[美国Linux服务器](https://www.mfisp.com/shop/usidc)/lib/udev目录下的debug程序。 三、Watchdogs Miner病毒 Watchdogs Miner可通过SSH爆破，使用[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统的Shell脚本编写下载器，通过wget和curl命令下【游戏组件dota2.tar.gz】，实则是挖矿脚本组件，里面包含了查杀其他挖矿木马的脚本，还有针对不同系统对应的挖矿木马。Watchdogs Miner病毒的特点是样本由go语言编译，并试用伪装的hippies或LSD包。 系统中毒现象： ``` 存在执行pastebin.com上恶意代码的定时任务。 /tmp/目录下存在一个名为watchdogs的病毒文件。 访问systemten.org域名。 ``` 解决方案： 1、删除[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统上恶意动态链接库 /usr/local/lib/libioset.so 2、清理 crontab 异常项[3]，使用kill命令终止挖矿进程 3、排查清理[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统可能残留的恶意文件： ``` chattr -i /usr/sbin/watchdogs /etc/init.d/watchdogs /var/spool/cron/root /etc/cron.d/root chkconfig watchdogs off rm -f /usr/sbin/watchdogs /etc/init.d/watchdogs ``` 4、由于文件只读且相关命令被hook，[美国Linux服务器](https://www.mfisp.com/shop/usidc)需要安装busy box并使用busy box rm命令删除。 四、Start Miner病毒 Start Miner病毒通过SSH进行传播，其主要特点是会在[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统上创建多个包含2start.jpg字符串的恶意定时任务。Start Miner病毒通过SSH传播新型的Linux挖矿木马，该木马通过在[美国Linux服务器](https://www.mfisp.com/shop/usidc)上创建多个定时任务、多个路径释放功能模块的方式进行驻留，并存在SSH暴力破解模块，下载并运行开源挖矿程序。 系统中毒现象： ``` 定时任务里有包含2start.jpg的字符串。 /tmp/目录下存在名为x86_的病毒文件。 器/etc/cron.d目录下出现多个伪装的定时任务文件：apache、nginx、root。 ``` 解决方案： 1、结束[美国Linux服务器](https://www.mfisp.com/shop/usidc)上的挖矿进程x86_。 2、删除所有带有2start.jpg字符串的定时任务。 3、清除[美国Linux服务器](https://www.mfisp.com/shop/usidc)所有带有2start.jpg字符串的wget进程。 五、Rainbow Miner病毒 Rainbow Miner病毒最大的特点是会隐藏挖矿进程kthreadds，[美国Linux服务器](https://www.mfisp.com/shop/usidc)用户会发现CPU的占用率高，却没有发现可疑进程，是有因为Rainbow Miner病毒采用了多种方式进行隐藏及持久化攻击。 系统中毒现象： ``` 隐藏挖矿进程/usr/bin/kthreadds， CPU占用率高却看不到进程。 会访问Rainbow66.f3322.net恶意域名。 会创建SSH免密登录公钥，实现持久化攻击。 存在cron.py进程。 ``` 解决方案： 1、[美国Linux服务器](https://www.mfisp.com/shop/usidc)下载busy box，使用busy box top定位到挖矿进程kthreadds及母体进程pdflushs，并进行清除。 2、删除/usr/bin/kthreadds及/etc/init.d/pdflushs文件，及/etc/rc*.d/下的启动项。 3、删[美国Linux服务器](https://www.mfisp.com/shop/usidc)除/lib64/下的病毒伪装文件。 4、清除python cron.py进程。 ![](https://www.mfisp.com/wp-content/uploads/thumb/2021/10/fill_w120_h120_g0_mark_6b9525161d6ba7_1_post.webp) [![](https://www.mfisp.com/wp-content/uploads/thumb/2021/10/fill_w120_h120_g0_mark_6b9525161d6ba7_1_post.webp)](https://www.mfisp.com/shop/336.html) ## [美国服务器-USC3E31230B](https://www.mfisp.com/shop/336.html)[出售] ￥999 ￥1199 - 库存：9.9k - 已售：121 - 人气：3.3k 关于[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统安全的加固建议： 1、美国Linux服务器系统的恶意软件一般以挖矿为主，一旦被挖矿了，CPU的占用率会非常高，因此[美国Linux服务器](https://www.mfisp.com/shop/usidc)用户需要实时监控CPU的状态。 2、定时任务是[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统恶意软件常见的攻击方式，所以需要定时检查系统是否有出现可疑的定时任务。 3、美国Linux服务器系统避免存在SSH弱密码的现象，需要更改为复杂密码，且检查[美国Linux服务器](https://www.mfisp.com/shop/usidc)在/root/.ssh/目录下是否有存在可疑的authorized_key缓存公钥。 4、[美国Linux服务器](https://www.mfisp.com/shop/usidc)用户需要定时检查Web程序是否有存在漏洞，特别关注Redis未授权访问等RCE漏洞。 以上就是[美国Linux服务器](https://www.mfisp.com/shop/usidc)系统常见的病毒以及解决方案的介绍，希望能帮助到有需要的美国Linux服务器用户。 现在[梦飞科技](https://www.mfisp.com)合作的[美国VM机房](https://www.mfisp.com/shop/usvmidc)的[美国Linux服务器](https://www.mfisp.com/shop/usidc)所有配置都免费赠送防御值 ，可以有效防护网站的安全，以下是部分配置介绍： | CPU | 内存 | 硬盘 | 带宽 | IP | 价格 | 防御 | |---|---|---|---|---|---|---| | E3-1230v3 | 16GB | 500GB SSD | 1G无限流量 | 1个IP | 900/月 | 免费赠送1800Gbps DDoS防御 | | E3-1270v2 | 32GB | 500GB SSD | 1G无限流量 | 1个IP | 1250/月 | 免费赠送1800Gbps DDoS防御 | | E3-1275v5 | 32GB | 500GB SSD | 1G无限流量 | 1个IP | 1350/月 | 免费赠送1800Gbps DDoS防御 | | Dual E5-2630L | 32GB | 500GB SSD | 1G无限流量 | 1个IP | 1450/月 | 免费赠送1800Gbps DDoS防御 | [梦飞科技](https://www.mfisp.com)已与全球多个国家的顶级数据中心达成战略合作关系，为互联网外贸行业、金融行业、IOT行业、游戏行业、直播行业、电商行业等企业客户等提供一站式安全解决方案。持续关注[梦飞科技官网](https://www.mfisp.com)，获取更多IDC资讯！ ![美国Linux服务器的系统权限](https://www.mfisp.com/wp-content/uploads/2022/01/2022011503162756.jpg) --- 本页由 梦飞idc云平台（https://www.mfisp.com）提供。站点导航见 https://www.mfisp.com/llms.txt