Como remover o vírus camplz no Ubuntu

Question

Eu notei um vírus em nossa máquina. Os sintomas mostrados são

1. Executa vários processos com o nome camplz. Se eu matar o processo reinicia
2. O executável está presente no diretório / usr / bin. Se eu exclua o executável que é recriado.
3. Cria arquivos em / tmp com nome config.f e ?? af ??? a ??? mdkkkk.

4. Se eu excluir os arquivos, eles são recriados. ESTABELECER conexões IP com IP baseado na China. endereços e começa a enviar bytes em MB, aumentando minha largura de banda utilização.

   lsof -o shows camplz  26983    root    2u  IPv4 2380650457      0t0  TCP <mydomain.com>:18703->100.42.227.29:18888 (ESTABLISHED)
   

mydomain.com é um marcador de posição.

Embora eu tenha encontrado a fonte, não tenho ideia de como removê-la e limpar minha máquina. Eu não quero mudar de máquina tanto quanto possível. Atualmente, eu escrevi um script simples que mata o processo e apaga os arquivos criados. Isso ajuda. No entanto, não é uma solução permanente. Eu usei poucos softwares de varredura de vírus. Mas eles não pegam. Alguém pode sugerir uma solução.

    #!/bin/bash

    while true; do ps -ef | grep camplz | grep -v grep | awk '{print $2}' |  xargs kill; rm /usr/bin/camplz ; rm /tmp/config.f ; rm /tmp/??af???a???mdkkkk ;  done

    

Answer 1

Amigos, Monitorou o sistema na noite passada e achou estável. Pensei em compartilhar minha experiência sobre como o problema foi resolvido.

Declaração do problema Recebi um e-mail do provedor de hospedagem que o uso da largura de banda aumentou em vários níveis.

Caça à fonte

1. Ran iftop -n para descobrir o fluxo de dados. Claramente minha máquina era envio de dados.
2. Ran lsof -i e lsof -o para descobrir qual processo estão enviando dados para fora.

3. Obteve o PID da saída de lsof -o

4. Executou ps -e -o cmd,pid,ppid | grep <pid> para entender o pai ID do processo. Foi encontrado para ser 1

5. Ran grep -rnw '/' -e "camplz" para descubra todos os arquivos que tiveram presença do nome do processo
6. Abri os arquivos para ler como os scripts estavam se comportando
7. Por fim, apagou todos os arquivos infectados e matou sua execução processo

Pontos de informação mais específicos estão nos comentários. Eu acredito que eles poderiam adiar para indivíduos embora.

Escreveu alguns scripts durante este processo. Espero que você ache útil.

Script para eliminar o processo sempre que aparecer

    #!/bin/bash

    while true; do ps -ef | grep camplz | grep -v grep | awk '{print $2}' |  xargs kill; rm /usr/bin/camplz ; rm /tmp/config.f ; rm /tmp/??af???a???mdkkkk ;  done

Script para monitorar o uso da largura de banda e enviar e-mails, caso ele salte

    #!/bin/bash
    log="/root/net.log"
    current_time=$(date "+%Y.%m.%d-%H.%M.%S")
    if [ -z "$1" ]; then
            echo
            echo usage: $0 network-interface
            echo
            echo e.g. $0 eth0
            echo
            echo shows packets-per-second
            exit
    fi

    IF=$1

    while :;
    do
            R1='cat /sys/class/net/$1/statistics/rx_bytes'
            T1='cat /sys/class/net/$1/statistics/tx_bytes'
            sleep 10
            R2='cat /sys/class/net/$1/statistics/rx_bytes'
            T2='cat /sys/class/net/$1/statistics/tx_bytes'
            TXPPS='expr $T2 - $T1'
            RXPPS='expr $R2 - $R1'
            echo "tx $1: $TXPPS bytes/s rx $1: $RXPPS bytes/s"
                    if [ "$TXPPS" -gt 100000000 ]; then
                    mail -s "Data is being transmitted above 100 MB. Please Check" <put your email id here. e.g. [email protected]> < /dev/null
                            echo "$current_time Mail send successfully" >>$log
                    fi
    done

Obrigado a @mikewhatever @DopeGhoti e agradecimentos especiais a @Serg