记录一次为客户排查恶意扫描木马

大家好，我是孙子烧烤，近期我们客户团队为某江苏客户进行恶意扫描木马排查，下面将排查过程分享给大家，具体步骤仅供参考！部分敏感信息已做模糊处理

事情起因是这位江苏客户收到云厂商的封禁，理由是端口扫描、对外攻击

在解封后的第一时间，联系到我们网安技术团队进行排查

进行初步排查，发现SSH登录日志，在2025年6月7日 - 2025年6月14日一共有4次未经授权的登陆行为

排查计划任务时，发现一条每分钟执行的命令

* * * * * /var/tmp/.update-logs/./.b >/dev/null 2>&1 & disown

我们立刻排查/var/tmp/.update-logs目录，发现恶意扫描程序所在位置，打开ip文件则查看到了要爆破的ip信息和ip段

经过微步云沙箱扫描，确定为木马文件，检测结果：样本报告-微步在线云沙箱

后面，我们排查网络进程等其他信息，并未发现异常，因此，本次排查完毕

广告：

• 高性能海外服务器低至200元/年