Linux 查殺 pscan2 木馬完整實戰：從異常 CPU 到徹底清除

發現伺服器 CPU 長期 100%、出現不明使用者 tel、進程名 pscan2？這是經典的 pscan2 掃描木馬，常透過弱口令 SSH 植入。本文完整記錄從現象發現、進程分析、木馬定位到徹底清除的實戰流程。

異常現象發現

• 業務端口 3456 被佔用，lsof -i:3456 顯示屬於使用者 tel。
• ps aux 顯示大量 tel 使用者進程，但系統從未建立該帳號。
• top 顯示 pscan2 佔用 CPU 100%，記憶體佔用低，特徵符合掃描器木馬。

木馬定位與分析

1. 切換至可疑用戶環境

su - tel
# 或
su tel

2. 檢查家目錄隱藏資料夾

ls -la
# 發現隱藏目錄 "..." (三個點，極易忽略)
drwxrwxr-x 6 503 503 4096 Aug 24 09:54 ...

3. 進入隱藏目錄確認木馬本體

cd ...
ls -la
# 發現 pscan2 執行檔、腳本、配置檔等

徹底清除步驟

1. 殺掉所有木馬進程
   

   
   pkill -9 -u tel
   

2. 刪除木馬用戶
   

   
   userdel tel
   # 若提示 group 仍有其他用戶，需先處理
   

3. 檢查殘留群組與關聯用戶
   

   
   grep tel /etc/group
   # tel:x:503:
   grep 503 /etc/passwd
   # bossnm:x:500:503::/export/home/bossnm
   # 發現 bossnm 也屬於 tel 群組
   

4. 清除關聯用戶與群組
   

   
   userdel bossnm
   groupdel tel
   

5. 刪除木馬檔案與隱藏目錄
   

   
   rm -rf /home/tel/...
   # 或完整刪除家目錄
   rm -rf /home/tel
   

6. 檢查系統其他異常
   
   • crontab -l -u root、/etc/cron.* 是否有惡意排程。
   • ls -la /etc/rc*.d/、/etc/init.d/ 檢查開機腳本。
   • netstat -antulp 確認無其他異常監聽埠。
   • rpm -Va 或 debsums -c 驗證系統檔案完整性。

事後加固建議

• 修改 SSH 埠號、禁用 Root 登入、強制金鑰認證 (參考文章 43813)。
• 安裝 fail2ban 自動封鎖暴力破解 IP。
• 定期掃描：rkhunter、chkrootkit、clamav。
• 審計子系統：啟用 auditd 監控關鍵系統呼叫。
• 最小權限原則：業務用戶僅授必要權限，禁用 Shell 或設 /sbin/nologin。

關鍵指令速查表