Linux 伺服器中木馬 Gates 手工清除完整實錄

事件回顧

多台線上伺服器流量異常暴增（平時百 MB 級 → 突破 Gbps），iftop 顯示大量出站封包指向變動 IP，疑似被植入 DDoS 傀儡程式。初步排查發現：

• /bin/ps、/bin/netstat 被替換（大小 1.2 MB，非原版）。
• /usr/bin/.dbus-daemon--system 偽裝系統程序（帶點號前綴）。
• /etc/rc.local 被寫入開機啟動項。
• lsattr、chattr 指令被刪除，無法鎖定檔案屬性。
• 殺進程、刪檔案皆秒級復活，極具韌性。

木馬特徵

名稱：Linux.BackDoor.Gates.5（參考 antichat 論壇分析）。
變種檔案名模仿合法服務：
/usr/local/zabbix/sbin/zabbix_AgentD、/usr/bin/bsd-port/getty、/usr/bin/dpkgd/ps、/usr/bin/.sshd、/usr/bin/sshd 等，大小一致，實為同一惡意二進制。

啟動腳本藏於：
/etc/rc.d/init.d/DbSecuritySpt、/etc/rc.d/init.d/selinux，並在 rc[1-5].d 建立 S97DbSecuritySpt、S99selinux 軟連結實現開機自啟。

應急遏制：重命名 /bin/bash

木馬依賴 Shell 解釋器拉起子進程，mv /bin/bash /bin/bash.bak 即時切斷其生存鏈，流量瞬間歸零。副作用：所有 Shell 腳本、SSH 登入失效，需單用戶模式或重裝恢復。僅作為爭取分析時間的極端手段。

系統級清除步驟（經實戰驗證）

0. 快速判斷

cat /etc/rc.d/init.d/selinux
cat /etc/rc.d/init.d/DbSecuritySpt
ls /usr/bin/bsd-port
ls /usr/bin/dpkgd
ls -lh /bin/netstat /bin/ps /usr/sbin/lsof /usr/sbin/ss

1. 上傳乾淨工具組

從可信機器複製 lsattr chattr ps netstat ss lsof 至 /root，避免被污染的系統指令干擾。

2. 刪除惡意檔案與目錄

rm -rf /usr/bin/dpkgd          # 含 ps netstat lsof ss 偽裝
rm -rf /usr/bin/bsd-port       # 木馬主程式目錄
rm -f /usr/local/zabbix/sbin/zabbix_AgentD
rm -f /usr/local/zabbix/sbin/conf.n
rm -f /usr/bin/.sshd /usr/bin/sshd
rm -f /root/cmd.n /root/conf.n /root/IP
rm -f /tmp/gates.lod /tmp/moni.lod /tmp/notify.file /tmp/gates.lock
rm -f /etc/rc.d/init.d/DbSecuritySpt
rm -f /etc/rc.d/rc[1-5].d/S97DbSecuritySpt
rm -f /etc/rc.d/init.d/selinux
rm -f /etc/rc.d/rc[1-5].d/S99selinux

3. 定位並殺死殘留進程

top -b -n1 | head -20          # CPU 高佔用進程多為木馬
/root/ps aux | grep -E 'jul29|jul30|jul31|sshd|ps|getty|netstat|lsof|ss|zabbix|dbus'
kill -9 

4. 恢復系統指令

cp /root/ps /bin/ps
cp /root/netstat /bin/netstat
cp /root/ss /usr/sbin/ss
cp /root/lsof /usr/sbin/lsof
cp /root/lsattr /usr/bin/lsattr
cp /root/chattr /usr/bin/chattr

5. 修復屬性與免疫

chattr +i /bin/ps /bin/netstat /usr/sbin/ss /usr/sbin/lsof /usr/bin/lsattr /usr/bin/chattr
# 關鍵二進制加不可變屬性，防二次替換

6. 加固防禦

• 啟用 iptables/firewalld 限制出站連線，僅允許業務必要 IP/埠。
• 部署 HIDS（如 Ossec/Wazuh）監控關鍵檔案完整性。
• 定期 rpm -Va / dpkg --verify 檢驗套件一致性。
• SSH 強制金鑰登入、禁用密碼、修改預設埠、配置 fail2ban。

教訓總結

1. 「裸奔」無防火牆是最大隱患，任何對外服務必須最小權限原則。
2. 木馬利用 rc.local、init.d、systemd 多重持久化，清除必須全盤掃描啟動項。
3. 備份乾淨指令組（busybox 或 coreutils 靜態編譯版）至離線儲存，應急時可用。
4. 建立基線資產清單（檔案雜湊、開機啟動、監聽埠），異常即時告警。