Xcopy_ Xcopy_
关注数: 10 粉丝数: 40 发帖数: 3,426 关注贴吧数: 16
光猫感染病毒案例一例(转) 转载自: bbs.mydigit.cn/read.php?tid=1507151 ,侵删。连光猫都中毒了,开眼了! ———————————————— 最近发现家里上网特别慢,经常打不开网页,排查两天发现是家里EPON的Modem(型号RG200O-CA)被黑了。 telnet进入Modem,检查系统文件,突然telnet中断,无法再telnet。断电重启,可以telnet进去,过一会儿还是telnet会中断。遂断开光纤,此时telnet正常,不再发生中断现象,初步判断telnet中断现象与上网状态有关。怀疑是Modem被木马感染。反复PS检查当前进程信息,突然发现一行可疑信息: (代码) 此前因为仔细研究过这台Modem,开启了路由功能,并成功编译上传了一个打印服务器的程序,对这个Modem的系统比较了解,从未出现过这样的信息,因此可以断定确实是Modem受到了感染。 经过搜索,上面的那行命令是通过/home/sh.sh启动的,查看/home/sh.sh内容如下: (代码) 可以看到木马程序从两个网站下载shell脚本并反复循环执行,好吧,我也下载下来看看里面什么东东 (代码) 看到一串IP地址,后面又设置了防火墙规则。最后面的两条太显眼,就是只允许指定的网段能够telnet控制我的Modem,我之前的telnet中断现象就是它干的。 前面两条规则是把对上面那些IP TCP 80端口的访问数据全部转发到了59.56.68.183的20002端口; 中间的两条规则是把对中间那段IP地址段的DNS访问全部转发到了114.114.114.114貌似这没有太大的危害。 那就再来看看一开始的哪些IP地址是谁的吧,随便找个IP地址试试: (代码) 乖乖,居然是淘宝的IP,原来这个木马劫持了淘宝的IP,受害的用户不知不觉就连到了木马控制人的服务器上,真是吓死宝宝了。到百度一搜,那些IP地址大都是阿里巴巴的。 而木马控制人的服务器IP59.56.68.183是福建某地的。 回头再来看看木马程序是如何启动的,查到/etc/有个rc_vtp2.0 (代码)看看它的内容: (代码) 在最后多了一句,之前的内容可能是原来就有的。 再看看rc_vtp2.0是在哪儿启动的,只在/etc/profile中有一句 ....../etc/rc_vtp2.0...... 这就奇怪了,按理/etc/profile只有在有人登录之后才会执行,是不是还有另外的地方启动呢? 先赶紧把这些木马文件干掉,回头继续查。
1 下一页