云服务器木马清除与加固实操指南
一、处置流程总览
- 隔离止损：立即将受感染实例从内网/公网隔离（如调整安全组仅允许堡垒机或管理网段访问），避免横向扩散与矿池回连。
- 快速止血：终止异常进程、阻断可疑外联、清理持久化（计划任务、启动项、SSH 公钥等）。
- 深度查杀：使用云厂商或主机安全工具做多轮查杀，优先处理挖矿、矿池通信、异常登录等告警。
- 全面检测：对系统盘与数据盘做离线/无代理全盘检测，定位残留与可疑内核模块。
- 恢复与加固：修补漏洞、重置凭证、收敛暴露面、开启持续监测与告警。
- 无法干净清除时：基于最近一次干净快照/镜像回滚或重建实例，再按加固清单上线。
以上做法与云厂商最佳实践一致，包含“快速止血—深度查杀—全盘检测”的闭环处置思路。
二、Linux 现场清除步骤
- 阻断可疑网络：
- 查看连接：netstat -antp；定位异常外联的 PID 与进程路径。
- 临时封禁：iptables -A INPUT -s -j DROP；iptables -A OUTPUT -d -j DROP。
- 结束恶意进程并清理文件：
- 定位：top -c；ps -eo pid,ppid,cmd,%cpu --sort=-%cpu；ls -al /proc/$PID/exe。
- 处置：kill -9 $PID；rm -f “/proc/$PID/exe 指向的文件”。必要时对文件做 MD5 并在威胁情报平台核验。
- 清理持久化：
- 计划任务：crontab -l；crontab -u -l；排查 /etc/crontab、/var/spool/cron、/etc/cron.*、/etc/anacrontab。
- systemd 服务：systemctl list-unit-files | grep enabled；审查 /etc/systemd/system、/usr/lib/systemd/system 下可疑 .service；systemctl disable 并删除单元文件。
- 启动脚本与系统脚本：/etc/rc.local、/etc/inittab、/etc/rc.d/ 等。
- SSH 后门：~/.ssh/authorized_keys、/root/.ssh/authorized_keys 删除未知公钥。
- 命令劫持与隐藏：检查 /etc/ld.so.preload（如被植入 .so 劫持，先 >/etc/ld.so.preload 清空），恢复被改名的系统命令（如将 /bin/ps.original 恢复为 /bin/ps）。
- 防篡改属性：如遇不可删文件，先 chattr -i <文件> 再清理。
- 账户与登录审计：
- 新增账号：ausearch -m user_add -ts recent 或 grep useradd /var/log/secure；检查 /etc/passwd、/etc/shadow 的可疑条目并删除。
- 登录历史：last、grep 'Accepted' /var/log/secure 发现可疑来源 IP。
- 无法定位时：结合 find /etc -ctime -2、lsof -c <可疑进程名> 找最近改动与打开的文件，配合多引擎检测（如上传至 Virustotal）确认恶意性。
以上为 Linux 场景的高命中清理点，覆盖进程、网络、持久化、命令劫持与账户后门等关键面。
三、Windows 现场清除步骤
- 隔离与快照：先断网或限制访问，给当前系统做一次快照，便于回滚与取证。
- 结束进程与阻断外联：任务管理器或 PowerShell 结束高占用/可疑进程；用 netstat -ano 定位外联 PID 与远程地址，临时在边界防火墙/安全组封禁。
- 启动项与持久化：检查任务计划程序、注册表 Run/RunOnce、服务、浏览器扩展与启动文件夹，禁用并删除可疑条目。
- 恶意文件清理：在安全模式下用可信杀毒/EDR全盘扫描并清除；删除可疑可执行文件与脚本（注意先停止相关服务）。
- 账户与日志：重置本地/域管理员与数据库等所有凭证；审查安全事件日志（登录成功/失败、账户创建、策略变更）。
- 修复与加固：安装最新补丁，关闭不必要端口与服务，限制 RDP 访问来源，开启日志与告警。
- 无法干净清除：回滚到干净快照或执行重建，再按加固清单上线。
上述要点与通用应急流程一致，强调隔离、查杀、凭证重置与回滚策略。
四、使用云安全中心自动化处置
- 快速止血：在控制台“检测响应—安全告警处理”定位挖矿告警，选择“结束进程/结束并隔离源文件”，并批量处理相同告警；对“矿池通信行为”等关联告警执行阻断，必要时将矿池 IP 加入安全组禁用。
- 深度查杀：在“防护配置—主机防护—病毒查杀”对受害主机执行快速/全盘扫描，按提示清理持久化（自启动、定时任务等）。
- 全盘检测：在“无代理检测”对系统盘与数据盘创建检测任务，完成后再依据风险详情逐一修复（该能力以检测为主，修复需手工或配合其他功能）。
- 前提条件：处置告警与深度查杀需开通相应版本；全盘无代理检测为按量付费能力。
以上流程可在云侧形成“告警—处置—查杀—检测”的闭环，显著提升效率与覆盖率。
五、加固与复发预防清单
- 身份与访问控制：全量重置系统、数据库、中间件、应用与管理后台密码；启用强密码策略与双因素认证（2FA）；最小权限与分权分域；禁用不必要账户与默认内置账户。
- 暴露面收敛：仅开放必要端口与协议；将 SSH/RDP 限制为跳板/内网来源；禁用默认端口；安全组白名单精细化。
- 系统与软件更新：操作系统与中间件、CMS、插件、依赖库统一升级并开启自动安全更新；修复高危漏洞与弱口令。
- 入侵检测与防护：启用主机安全/EDR 与日志审计（登录审计、命令审计、进程与网络连接审计）；开启云侧威胁情报与异常登录告警。
- 备份与演练：建立离线/异地备份与定期恢复演练；关键变更前先快照；制定并演练应急响应预案。
- 持续监测：建立基线巡检（账户、启动项、计划任务、服务、外联、内核模块等），定期漏洞扫描与配置合规检查。
这些措施覆盖“凭证—暴露面—补丁—检测—备份”的全链路防护，显著降低复发概率。
