實戰紀錄：Linux 伺服器遭植入 IptabLes/IptabLex 惡意程式清除全過程

事件背景

某 CentOS 6.5 伺服器被通報作為跳板機攻擊內網其他主機。登入後發現系統已被植入惡意程式並建立後門帳號。

入侵痕跡發現

1. 異常帳號

cat /etc/shadow
# 發現多出 sqzr 帳號，密碼雜湊與 root 相同，UID 0 權限
sqzr:$6$yBrvX/HD...:16162:0:99999:7:::

嘗試 userdel sqzr 提示使用中，直接編輯 /etc/passwd、/etc/shadow 刪除該行。

2. 可疑進程

ps -ef | grep -E 'Iptab|prwp'
# 21911 ?  00:00:00 .IptabLex
# 21917 ?  00:00:00 .IptabLes
# 29093 ?  00:00:02 prwpodebiq  (隨機檔名，極大 PID)

大小寫混淆偽裝成 iptables，實為 DDoS 惡意程式變種。

3. 惡意檔案定位

find / -name prwpodebiq
# /boot/prwpodebiq
# /etc/rc.d/init.d/prwpodebiq

ls -l /boot/
# 發現 IptabLes、IptabLex 為指向 /etc/rc.d/init.d/ 的符號連結
# prwpodebiq 權限 750，近期建立

4. 開機自啟動鏈結

find / -name '*IptabL*'
# /etc/rc.d/rc[2345].d/S55IptabLes
# /etc/rc.d/rc[2345].d/S55IptabLex
# 已註冊為 runlevel 2/3/4/5 開機啟動

清除步驟

1. 終止惡意進程：kill -9 21911 21917 29093
2. 刪除惡意檔案：

   rm -f /boot/prwpodebiq /boot/.IptabLes /boot/.IptabLex
   rm -f /etc/rc.d/init.d/prwpodebiq /etc/rc.d/init.d/IptabLes /etc/rc.d/init.d/IptabLex

3. 移除開機自啟動連結：

   rm -f /etc/rc.d/rc*.d/S55IptabLes /etc/rc.d/rc*.d/S55IptabLex

4. 清除後門帳號：編輯 /etc/passwd、/etc/shadow 刪除 sqzr 行。
5. 檢查 SSH 授權金鑰：cat ~/.ssh/authorized_keys 移除不明公鑰。
6. 修改 root 密碼：passwd root。
7. 掃描殘留：chkrootkit、rkhunter 全盤掃描。

事後加強建議

• 關閉不必要對外埠口，啟用防火牆白名單。
• SSH 禁用密碼登入，強制金鑰認證 + 修改預設埠口。
• 定期審核 /etc/passwd、/etc/shadow、crontab、rc.local、/etc/rc.d/ 異常項目。
• 部署 HIDS (如 Wazuh/Ossec) 監控關鍵檔案變更。