Linux服务器中了挖矿木马？手把手教你清理 /etc/ld.so.preload 和 libs.so 恶意文件

Linux服务器应急响应：挖矿木马全链路排查与根治指南

当服务器CPU突然飙升至100%，终端不断弹出/usr/local/lib/libs.so的预加载错误时，这往往不是简单的配置问题，而是黑客已经在你系统里安营扎寨的信号。去年我们处理过上百起类似事件，发现90%的入侵者都会篡改/etc/ld.so.preload来实现进程隐藏。本文将带你体验一次完整的安全事件处置，从异常识别到根除后门，最后给出企业级防护方案。

1. 入侵特征识别与初步诊断

凌晨3点的告警短信总是让人心跳加速。当你连上服务器看到load average突破两位数时，先别急着重启。以下是挖矿木马的典型行为特征：

• CPU异常：top显示kworkerds、xmrig等陌生进程长期占用100%核心
• 隐蔽加载：执行任何命令都出现/usr/local/lib/libs.so: cannot open shared object file报错
• 文件篡改：/etc/ld.so.preload被修改且存在chattr +ia锁保护
• 定时任务：/var/spool/cron/root中出现非常规的wget或curl下载指令

快速诊断组合命令：

# CPU占用TOP5排序（带完整命令行） ps -eo pid,user,%cpu,cmd --sort=-%cpu | head -n 6 # 检查动态链接劫持 ls -l /etc/ld.so.preload 2>/dev/null # 查看隐藏的预加载库 cat /etc/ld.so.preload 2>/dev/null | xargs ls -la

2. 恶意组件清除实战

2.1 解除文件锁定

攻击者常用chattr +ia防止文件被修改，即使root也无权操作。先解除属性再处理：

# 查看文件属性（注意a/i属性） lsattr /etc/ld.so.preload # 解除锁定（需root） chattr -ia /etc/ld.so.preload # 清空恶意配置 echo "" > /etc/ld.so.preload

2.2 清理恶意组件

典型挖矿木马会部署以下文件，建议按顺序清除：

2.3 清除持久化后门

黑客通常通过cron实现再生，必须全面清理：

# 系统级定时任务 rm -rf /etc/cron.d/* rm -rf /var/spool/cron/* # 用户级定时任务 for user in $(cut -f1 -d: /etc/passwd); do crontab -r -u $user done # 临时目录清理 find /tmp /var/tmp -type f -mtime -1 -exec rm -f {} \;

3. 系统加固与防护

3.1 关键文件锁定

清理后立即实施写保护：

chattr +i /etc/ld.so.preload chattr +i /var/spool/cron chattr +i /etc/cron.d

3.2 入侵溯源检查

排查入侵途径时重点关注：

• SSH日志：grep 'Accepted password' /var/log/secure
• Web后门：find /var/www/ -name "*.php" -exec grep -l "eval(" {} \;
• 异常账户：awk -F: '($3 == 0) {print}' /etc/passwd

3.3 企业级防护方案

生产环境建议部署：

1. 文件完整性监控：AIDE或Tripwire检查系统文件变更
2. 行为监控：auditd规则示例：

   auditctl -w /etc/ld.so.preload -p wa -k preload_change auditctl -w /var/spool/cron -p wa -k cron_change

3. 网络隔离：iptables限制外连矿池地址

   iptables -A OUTPUT -p tcp --dport 3333 -j DROP iptables -A OUTPUT -p tcp --dport 5555 -j DROP

4. 长效防护机制

某金融客户在清理木马后，我们为其部署了以下防护体系：

1. 最小化权限：所有业务账户改用sudo权限限制
2. 双因素认证：SSH登录强制使用Google Authenticator
3. 实时监控：Elastic Stack构建的日志分析平台，关键告警10秒内响应
4. 漏洞管理：每月执行一次CVE补丁更新专项

记得去年处理某次入侵时，发现攻击者通过Redis未授权访问植入挖矿脚本。清理后我们给所有Redis实例添加了rename-command CONFIG ""配置，彻底堵死了漏洞。安全运维没有银弹，持续监控和快速响应才是王道。