Ubuntu18.04执行sudo时报bash: /tmp/9CIBU无此文件或目录如何解决？

问题根因 #

恶意软件篡改了sudo命令的执行映射，杀毒软件清理时删除了恶意程序本体（即报错中提到的/tmp/9CIBU），但残留的劫持配置未被同步清理，导致执行sudo时系统仍然尝试调用已被删除的恶意文件。

解决步骤 #

• 第一步：检查当前用户的别名配置
  执行命令：

  alias | grep sudo
  

  如果输出类似alias sudo='/tmp/9CIBU'的结果，说明当前用户的bash配置被篡改。先执行unalias sudo临时恢复sudo功能，再依次检查以下配置文件，删除包含恶意alias的行：

  • ~/.bashrc
  • ~/.bash_profile
  • ~/.profile
  • /etc/bash.bashrc
  • /etc/profile

• 第二步：检查sudo二进制文件是否被替换
  执行命令：

  which sudo
  

  正常输出应为/usr/bin/sudo，如果输出其他路径，直接删除异常路径的文件，同时执行apt install --reinstall sudo重装sudo程序。

• 第三步：检查sudo的全局配置
  如果你当前有可用的root会话，直接执行visudo打开sudo配置文件，检查Defaults段的配置，删除所有指向/tmp/路径的异常配置，重点核查env_keep、secure_path字段，以及是否存在异常的前置执行钩子配置。

• 第四步：无root会话时走单用户模式修复
  如果没有可用的root权限会话，重启系统进入单用户模式操作：

  1. 重启时在GRUB菜单选择Advanced options for Ubuntu，选中带(recovery mode)后缀的内核版本
  2. 进入recovery菜单后选择root选项进入root shell
  3. 执行命令重新挂载根目录为可读写：mount -o remount,rw /
  4. 依次完成上述1-3步的排查修复操作
  5. 修复完成后执行exec /sbin/init正常启动系统即可

补充注意 #

修复完成后建议再次执行全量杀毒扫描，同时核查crontab定时任务、系统服务等位置的恶意残留，避免问题复现。

内容的提问来源于stack exchange，提问作者obiwan96