1、使用netstat查看可疑进程
- 执行`ls -al /proc/$PID/exe`确认可疑进程对应的文件;
- 若文件未被删除,则直接上传文件到Virustotal进行检测,或者计算出文件对应的md5,使用md5去Virustotal进行查询;若文件已被删除,可执行`cat /proc/$PID/exe > /tmp/t.bin`将进程dump到特定目录,再上传文件到Virustotal或者计算dump文件对应的md5到Virustotal进行查询。如果有多款杀毒引擎同时检出,那基本可以判定该进程为恶意进程。
2、Virustotal进行查询
Virustotal地址:VirusTotal
如果有多款杀毒引擎同时检出,那基本可以判定该进程为恶意进程。